[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)

Objet : [Màj] Multiples vulnérabilités dans PHP

Une gestion de version détaillée se trouve à la fin de ce document.

[Mise à jour du 22 octobre 2026]
Le CERT-FR a connaissance de preuves de concept pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifique de PHP.

[Mise à jour du 21 octobre 2026]
Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.

[Publication Initiale]
Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). L'éditeur n'assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x [1].

Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.

Ces contournements provisoires ne sont pas qualifiés par le CERT-FR :

Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit :

php_admin_flag[session.upload_progress.enabled] = off

La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Cette mesure d'atténuation réduit la surface d'attaque que pour la vulnérabilité CVE-2026-109619 [2].

Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall).

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).