Nouvelle vulnérabilité CVE-2026-115560 détectée dans PHP
L’équipe de PHP a signalé le 23 octobre une nouvelle vulnérabilité, CVE-2026-115560, qui permet d’exécuter du code à distance sur un serveur web. L’avis a été publié deux jours après la sortie des correctifs d’urgence pour les vulnérabilités critiques PHP2Shell.
Le problème ne concerne que les applications dotées d’une configuration inhabituelle, c’est pourquoi les développeurs jugent son exploitation peu probable. Aucune mise à jour exceptionnelle n’est prévue. D’ici la prochaine version planifiée, les spécialistes recommandent de désactiver le suivi de la progression des envois de fichiers dans la session (session upload progress).
La vulnérabilité n’apparaît que si trois conditions sont réunies en même temps. Premièrement, le paramètre session.serialize_handler a pour valeur php_binary ou php_serialize. Deuxièmement, l’application le modifie en cours d’exécution pour php au moyen de ini_set(), avant l’appel à session_start(). Troisièmement, la fonction session upload progress est activée, ce qui est le cas par défaut.
Pour se protéger, il faut définir session.upload_progress.enabled=0 dans la configuration du serveur, et non dans le code de l’application, puis redémarrer tous les processus de travail PHP. L’équipe PHP avait déjà indiqué cette même mesure le 21 octobre dans le bulletin GHSA-6wmf-4rv5-p3rp comme protection contre CVE-2026-109619, l’une des vulnérabilités PHP2Shell. Si le réglage a été appliqué à ce moment-là et n’a pas été annulé, aucune autre action n’est nécessaire. Les experts conseillent aussi de ne pas réactiver la fonction après l’installation des correctifs si elle n’est pas utile : les attaquants cherchent de plus en plus de failles dans ce mécanisme rarement utilisé et peu testé.
Selon The Hacker News, les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre, ne corrigent pas cette nouvelle faille. Le correctif sera intégré au cycle de publication habituel, et le bulletin complet sur CVE-2026-115560 paraîtra avec la prochaine version. Les versions concernées, les builds qui contiendront le correctif et la gravité de la menace n’ont pas encore été précisés. On ignore également si ce problème est lié à CVE-2026-109619. Aucune exploitation dans des attaques réelles n’a été signalée.
Entre-temps, les tentatives d’exploitation des vulnérabilités PHP2Shell, CVE-2026-109618 et CVE-2026-109619, se poursuivent. Les honeypots d’Amazon ont enregistré une tentative dès le 17 octobre, quatre jours avant la divulgation publique. D’après Cloudflare, le nombre de tentatives est passé de plusieurs dizaines de milliers durant les 45 premières minutes suivant la divulgation du 21 octobre à des millions le matin du 22 octobre. Sophos et Arctic Wolf indiquent que des attaquants ont essayé d’installer une variante du botnet Mirai, jusqu’ici sans succès. Previdian, Wordfence et d’autres sociétés constatent uniquement des analyses et des vérifications de serveurs, sans cas confirmé d’exécution de code. Selon les chercheurs, créer un exploit fiable s’est révélé plus difficile que prévu. Cette activité vise les deux vulnérabilités corrigées le 21 octobre, et non CVE-2026-115560.