PHP : deux failles critiques corrigées, premières attaques observées
Les développeurs de PHP ont publié en urgence des correctifs pour deux vulnérabilités critiques, notées chacune 9,2 sur 10. Ces failles permettent à des attaquants d’exécuter du code arbitraire à distance sur un serveur, sans aucune authentification. Cloudflare a déjà détecté les premières tentatives d’exploitation.
Les mises à jour ont été diffusées le 21 octobre : il s’agit des versions PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. La branche 8.1 et les versions antérieures ne bénéficient plus du support standard du projet, mais des correctifs distincts du code source ont été publiés pour les versions 7.4, 8.0 et 8.1. Certains éditeurs de logiciels serveur proposent également leurs propres mises à jour de sécurité.
La première vulnérabilité, CVE-2026-109618, provient d’une corruption de mémoire survenant lorsque celle-ci est épuisée. La seconde, CVE-2026-109619, permet d’accéder à une zone mémoire libérée après le traitement de la requête précédente. Ces deux erreurs peuvent entraîner l’exécution de code avec les droits du processus PHP et la compromission des données hébergées sur le serveur.
Selon les développeurs, le risque est le plus élevé pour les serveurs Apache utilisant le module mod_php. L’attaque est possible sans authentification et ne nécessite qu’une seule requête ; le code malveillant peut même s’exécuter avant le démarrage du site lui-même.
L’ampleur de la menace est considérable : d’après W3Techs, PHP est utilisé sur 69,3 % des sites dont le langage côté serveur a pu être déterminé. On y trouve notamment WordPress, Drupal, Joomla et Magento. Les failles se situant directement dans PHP, la mise à jour du système de gestion de contenu ne résout pas le problème.
Les informations sur ces erreurs sont devenues publiques avant la date de divulgation prévue. Cloudflare a ajouté des règles de protection supplémentaires, tout en précisant qu’elles ne remplacent pas l’installation des correctifs de PHP.
Il est recommandé aux administrateurs de mettre PHP à jour sans délai. Si cela est impossible, le CERT-EU conseille d’isoler temporairement les applications vulnérables d’Internet. Des mesures de protection complémentaires peuvent réduire le risque de certaines attaques, mais ne garantissent pas la sécurité du serveur.
