PHP : deux failles critiques, mettez à jour

Deux failles critiques touchent PHP et permettent, dans certaines configurations, d'exécuter du code à distance sans authentification. Le projet PHP a publié le 21 octobre 2026 une version de sécurité pour toutes ses branches maintenues et demande à tous les utilisateurs de mettre à jour « immédiatement ». Annoncée la veille, la publication était programmée à 14 heures UTC. Les deux vulnérabilités sont notées 9,2 sur l'échelle CVSS v4.0.

Deux défauts dans la gestion des requêtes

L'avis de sécurité décrit deux problèmes distincts, tous deux situés au cœur du traitement des requêtes web :

• CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) : la gestion d'un dépassement de mémoire peut interrompre PHP alors que des données internes de la requête ne sont que partiellement initialisées. Le nettoyage de fin de requête risque alors de traiter ces données invalides comme valides.
• CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp) : un état interne propre à une requête peut survivre à la libération de sa mémoire. Une requête suivante traitée par le même processus peut réutiliser cet état périmé avant sa réinitialisation.

Toutes les installations qui servent des requêtes web sont concernées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est jugé le plus élevé avec mod_php, où un exploit démontré ne nécessite aucune authentification et se déclenche avant même l'exécution du code de l'application. Autrement dit, un site n'a pas besoin de contenir un bug applicatif pour être exposé.

Les versions à installer

Les correctifs figurent dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La préversion PHP 8.6.0 RC4, publiée le même jour, les intègre également, mais elle reste réservée aux tests.

Les branches 8.1 et antérieures ne reçoivent plus de mises à jour officielles. L'équipe de sécurité a toutefois publié des rétroportages minimaux pour PHP 7.4, 8.0 et 8.1, et renvoie les utilisateurs de ces versions vers leurs fournisseurs. Les distributions Linux et les éditeurs de support étendu ont reçu les correctifs en avance : sur un système qui installe PHP par paquets, c'est l'avis de sécurité de la distribution qui indique quel paquet contient le correctif.

À noter : PHP 8.2 arrive en fin de vie le 31 décembre 2026 et ne recevra plus de correctifs de sécurité après cette date. C'est le moment de planifier la migration vers une branche plus récente.

Des contournements partiels seulement

Pour ceux qui ne peuvent pas mettre à jour tout de suite, l'avis liste des mesures d'atténuation, en précisant qu'elles ne rendent pas une installation sûre. Parmi elles : désactiver session.upload_progress.enabled dans php.ini ou la configuration du pool FPM puis redémarrer tous les processus, limiter post_max_size et la taille des requêtes au niveau du serveur web ou du proxy, ou encore imposer une limite mémoire via un conteneur ou un cgroup. Sur PHP 8.5, il est aussi conseillé de mettre fatal_error_backtraces à 0.

Un pare-feu applicatif ne remplace pas le correctif : comme le rappelait le cas de la faille exploitée du WAF SiteGuard, ces couches de protection peuvent elles-mêmes devenir une cible.

Un avis complémentaire le 23 octobre

Deux jours plus tard, le projet a publié un avis informatif sur un troisième vecteur, jugé peu probable, qui sera traité lors de la prochaine version de maintenance sous la référence CVE-2026-115560. Il ne concerne que les applications qui changent le gestionnaire de sérialisation des sessions à l'exécution, avec la progression d'envoi de session activée. La recommandation est la même : désactiver session.upload_progress.enabled d'ici là. Les administrateurs qui l'ont déjà fait n'ont rien d'autre à faire.