L'équipe de développement de PHP a publié des versions de sécurité d'urgence pour corriger deux vulnérabilités critiques permettant une exécution de code à distance sans authentification. Les correctifs sont disponibles dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, couvrant toutes les branches prises en charge de ce langage qui alimente une large part du web.
Les deux failles sont référencées CVE-2026-109618 et CVE-2026-109619, et toutes deux ont reçu une note CVSS v4.0 de 9.2 dans l'avis préalable de l'équipe. L'équipe de sécurité PHP indique qu'elle n'attend plus : des preuves d'exploitation circulent désormais dans la nature, et l'avis prévient qu'aucune atténuation complète n'existe. La mise à jour reste la seule option sûre.
Qui est concerné par CVE-2026-109618 et CVE-2026-109619
L'avis est d'une portée inhabituellement large. Il couvre toutes les installations PHP servant des requêtes web, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Si un serveur exécute PHP et répond à des requêtes venues d'Internet, il figure sur la liste des systèmes à corriger.
L'équipe PHP classe mod_php comme la configuration la plus risquée. Dans une exploitation démontrée, une requête non authentifiée peut déclencher l'attaque avant même l'exécution du code applicatif. Un serveur vulnérable peut donc être compromis même si le code du site lui-même est sain.
- PHP-FPM
- Apache avec mod_php (risque le plus élevé)
- php-cgi
