L'équipe de développement de PHP a appelé les administrateurs à se préparer à des mises à jour de sécurité d'urgence prévues le mercredi 21 octobre à 14h00 UTC (10h00 heure de l'Est), afin de corriger deux failles critiques notées chacune 9,2 selon le système CVSS v4.0. Dans un avis publié mardi, les mainteneurs ont précisé qu'ils se réservent le droit de publier plus tôt si les détails deviennent publics ou si une exploitation active apparaît dans la nature.
Cet avertissement découle en partie d'une fuite apparente. Des chercheurs en sécurité de watchTowr ont indiqué à BleepingComputer que les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, sont des vulnérabilités d'exécution de code à distance (RCE) qui toucheraient les versions 5, 6, 7 et 8 de PHP. Comme PHP fait tourner WordPress, les plateformes de commerce en ligne et d'innombrables services web sur mesure, ces correctifs concernent presque tous ceux qui gèrent un site.
Deux failles RCE PHP notées 9,2
L'équipe de sécurité de PHP n'a pas divulgué les détails techniques, les versions touchées ni les versions de publication qui contiendront les correctifs. Elle indique que l'information complète sera publiée dès que les mises à jour seront disponibles. Les administrateurs sont invités à se préparer dès maintenant pour pouvoir mettre à niveau dès la sortie.
Un écart subsiste toutefois dans l'évaluation des failles. PHP a attribué à chacune une note CVSS v4.0 de 9,2, tandis que Benjamin Harris, PDG de watchTowr, et une publication depuis supprimée sur Hacker News les ont décrites comme étant de niveau CVSS 10.0. watchTowr affirme avoir reproduit avec succès CVE-2026-109618, garde les détails techniques secrets jusqu'à la sortie des correctifs et n'a observé aucune exploitation dans la nature.
- CVE-2026-109618 et CVE-2026-109619 : deux vulnérabilités RCE dans PHP
