Failles critiques dans PHP : corriger CVE-2026-109618 et CVE-2026-109619
Deux failles du moteur PHP peuvent permettre une exécution de code à distance sans authentification. Recensez les services web concernés et appliquez une version corrigée ou un correctif fourni par votre éditeur.
Ce qui s'est passé
Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux vulnérabilités critiques pouvant permettre une exécution de code à distance. CVE-2026-109618 concerne une corruption de mémoire lors d'un manque de mémoire. CVE-2026-109619 concerne l'utilisation d'un état de requête après la libération de sa mémoire. Les failles touchent le moteur PHP : vérifier uniquement le code applicatif ou les extensions ne suffit pas.
Systèmes à examiner
Recensez toutes les installations PHP qui traitent des requêtes web : PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. Pensez aussi aux applications packagées et aux équipements qui embarquent PHP. Le projet PHP considère mod_php comme la configuration la plus exposée, car une attaque démontrée peut être déclenchée sans authentification avant même l'exécution du code applicatif.
Mesures à prendre
Passez à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon votre branche, ou installez un paquet de votre fournisseur qui intègre les correctifs. PHP 8.1 et les branches antérieures ne bénéficient plus de la maintenance habituelle du projet : vérifiez les correctifs de votre distribution ou de votre éditeur, ou préparez une montée de version. Après déploiement, contrôlez la version réellement utilisée par chaque service web ou conteneur, et pas seulement celle installée sur l'hôte.
Dans une note du 23 octobre, le projet PHP conseille aussi de régler session.upload_progress.enabled=0 jusqu'à la prochaine version corrective ordinaire pour couvrir un autre scénario peu courant. Cette précaution ne remplace pas la mise à jour de sécurité.
