L'équipe de développement de PHP a publié la version 8.2.35, une mise à jour de sécurité immédiate qui corrige deux vulnérabilités critiques permettant l'exécution de code à distance sans authentification. Ces failles, référencées CVE-2026-109618 et CVE-2026-109619, touchent une vaste partie d'Internet, puisque PHP propulse la majorité des sites et applications web dans le monde.
L'annonce a été faite sur GitHub avec une signature vérifiée, et l'urgence de cette mise à jour reflète la gravité des failles. Comme ces vulnérabilités permettent à des attaquants non authentifiés d'exécuter du code arbitraire sur les serveurs concernés, il est vivement recommandé aux administrateurs système de mettre à jour immédiatement.
Correctifs de sécurité PHP 8.2.35 : que sont CVE-2026-109618 et CVE-2026-109619 ?
CVE-2026-109618 et CVE-2026-109619 sont décrites comme des problèmes de sécurité critiques permettant l'exécution de code à distance sans authentification. Bien que les détails techniques complets soient encore en cours de divulgation, l'impact potentiel est immense : une exploitation réussie pourrait donner aux attaquants un contrôle total sur les serveurs affectés, entraînant le vol de données, le déploiement de rançongiciels ou l'utilisation dans des armées de botnets.
Ces vulnérabilités affectent PHP 8.2 et probablement d'autres branches prises en charge. L'équipe PHP n'a pas encore publié de correctifs pour les autres versions, mais des mises à jour pour les versions 8.3 et 8.4 devraient suivre. Les utilisateurs de versions plus anciennes non prises en charge sont particulièrement à risque et devraient envisager de migrer vers une version prise en charge dès que possible.
Pourquoi cette faille PHP affecte une part énorme d'Internet
PHP est la pierre angulaire de systèmes de gestion de contenu populaires comme WordPress, Joomla et Drupal, ainsi que d'innombrables applications web sur mesure. Cette adoption massive signifie que les failles pourraient être exploitées à grande échelle. Les chercheurs en sécurité ont qualifié la situation d'« Armageddon PHP », avertissant que des tentatives de scan et d'exploitation automatisées sont probablement déjà en cours.
