La faille critique PHP d'octobre 2026
Le 21 octobre 2026, l’équipe de développement de PHP a publié une mise à jour de sécurité urgente après la découverte de deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619. Toutes deux ont reçu un score de gravité de 9,2/10 (CVSS) et permettent potentiellement à un attaquant d’exécuter du code à distance sur un serveur vulnérable, sans authentification préalable.
Les deux failles reposent sur des problèmes de gestion de la mémoire : la première concerne une corruption mémoire provoquée lors d’une erreur de mémoire insuffisante (Out Of Memory), tandis que la seconde exploite la conservation de données internes après leur libération (Use-After-Free). Ces vulnérabilités peuvent donner aux attaquants un accès particulièrement dangereux aux systèmes concernés.
L’incident a provoqué une réaction internationale, avec des alertes émises notamment par l’ENISA, le CERT-EU et plusieurs agences nationales de cybersécurité. Des sites gouvernementaux ont également connu des interruptions pendant les opérations de sécurisation.
Le 21 octobre, PHP a publié des correctifs dans les versions suivantes :
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
La situation s’est encore compliquée le 23 octobre avec la divulgation d’une troisième vulnérabilité, CVE-2026-115560, qui nécessite toutefois une configuration particulière pour être exploitable. Le 26 octobre, les deux premières vulnérabilités ont été ajoutées à la base des failles activement exploitées de la CISA.
Source: