Deux vulnérabilités critiques permettant l'exécution de code à distance ont été découvertes dans le code source même de PHP . Toutes les versions sont considérées comme concernées.
Cesvulnérabilités, CVE-2026-109618 et CVE-2026-109619, ont toutes deux un score CVSS v4.0 de 9,2. L'équipe de sécurité PHP publiera des correctifs le 21 octobre 2026 à 16 h CEST / 10 h EDT / 7 h PT.
Si vous utilisez PHP à n'importe quel niveau de votre pile, restez à l'écoute pour connaître les solutions de contournement et les correctifs. Préparez-vous à prendre les mesures nécessaires.
Nous collaborons avec la Fondation PHP et la communauté de la sécurité afin de coordonner la publication des correctifs et des informations complémentaires. Nous travaillons actuellement à la publication d'images «Aikido » qui corrigent ces vulnérabilités sans nécessiter de mises à jour importantes.
Ce qui s'est passé
L'équipe de sécurité de PHP a publié un avis préalable le 20 octobre après que des informations concernant ces failles ont fuité avant la date de divulgation prévue. Des chercheurs indépendants ont confirmé la réalité de ces failles, et l'équipe PHP a avancé la date de publication au 21 octobre. Ces failles continuent de circuler.
Des sources ouvertes ont identifié des vulnérabilités exploitables avant la levée de l'embargo, et les acteurs malveillants sont susceptibles de tenter de les exploiter avant même que les correctifs ne soient disponibles.
Comment fonctionnent ces failles de sécurité ?
Nous ne divulguons pas pour l'instant les détails relatifs à l'exploitation de ces failles, tant que les correctifs ne sont pas encore déployés. De plus amples informations seront rendues publiques demain, en même temps que les correctifs, ou plus tôt si des détails concernant l'une ou l'autre de ces failles venaient à être rendus publics, ou si des preuves d'une exploitation active apparaissaient. Consultez le site de PHP pour plus d'informations.
