PHP va corriger deux vulnérabilités critiques aujourd’hui
PHP doit proposer à 16h00 des correctifs pour deux failles de sécurité critiques. Le calendrier pourrait toutefois changer en fonction des éventuelles fuites.
L’équipe de PHP a annoncé le 20 octobre 2026 la découverte de deux vulnérabilités critiques affectant les versions 5, 6, 7 et 8 du langage de programmation PHP. Ces failles, référencées sous les numéros CVE-2026-109618 et CVE-2026-109619, présentent un niveau de gravité élevé avec un score CVSS v4 de 9,2 sur 10. Le CVSS (Common Vulnerability Scoring System) est un système de notation qui évalue la sévérité des failles de sécurité en fonction de leur impact potentiel et de leur facilité d’exploitation. Un score de 9,2 signifie que ces vulnérabilités sont très dangereuses et peuvent causer des dommages importants si elles sont exploitées. Les correctifs pour ces failles seront publiés aujourd’hui, le 21 octobre 2026, à 16h00, heure de Paris.
Les deux vulnérabilités découvertes dans PHP sont de type RCE (Remote Code Execution), ce qui signifie qu’elles peuvent être exploitées à distance par des attaquants sans avoir besoin d’accéder physiquement à la machine cible. Cette capacité à exécuter du code malveillant à distance rend ces failles particulièrement dangereuses, car elles permettent à un pirate de prendre le contrôle d’un serveur ou d’un site web sans avoir besoin de se connecter directement. Selon le CERT-EU (Computer Emergency Response Team for the European Union), une organisation européenne chargée de la sécurité informatique, les applications basées sur PHP doivent être identifiées et protégées rapidement. En cas d’impossibilité de corriger immédiatement les failles, le CERT-EU recommande d’isoler les applications connectées à Internet des réseaux publics jusqu’à l’application des correctifs.
L’équipe de PHP et le CERT-EU insistent sur la nécessité d’appliquer les correctifs dès leur publication aujourd’hui à 16h00. Ils soulignent que des informations sur ces failles ont déjà commencé à circuler, bien que de manière générale, ce qui pourrait inciter des attaquants à les exploiter avant que les correctifs ne soient disponibles. watchTowr, une entreprise spécialisée en cybersécurité, a confirmé que les failles sont bien réelles et a appelé à la prudence, tout en respectant le calendrier de divulgation pour éviter de faciliter les attaques. Les organisations et les particuliers utilisant PHP sont donc invités à se préparer à installer les mises à jour dès qu’elles seront accessibles pour limiter les risques d’intrusion ou de piratage.
Le calendrier initial prévoyait une divulgation complète des détails des failles aujourd’hui à 16h00, mais des informations préliminaires ont déjà fuité, notamment via des échanges entre chercheurs en sécurité et des médias comme *Bleeping Computer*. *watchTowr* a alerté sur ces fuites, soulignant que des détails techniques pourraient être rendus publics plus tôt si des preuves d’exploitation active étaient détectées. L’équipe de PHP se réserve le droit d’avancer la publication des correctifs en cas de menace immédiate. Cette situation met en lumière les tensions entre la transparence nécessaire pour sensibiliser les utilisateurs et le risque de faciliter les attaques en révélant trop tôt des informations sensibles.
