Depuis quelques heures, le monde PHP s’inquiète de deux failles critiques : CVE-2026-109618 et CVE-2026-109619 (CVSS v4.0 : 9.2). Cela concerne le core code du langage et potentiellement tous les outils, serveurs, CMS utilisant PHP. Les failles concernent toutes les versions de PHP depuis la 5.4.
Ces failles, dont les détails ne sont pas totalement connus, permettent d’exécuter du code distant non autorisé.
PHP promet une mise à jour urgente pour ce 21 octobre à 14h UTC. Les détails seront publiés en même temps que la mise à jour.
MàJ 10h07 : seules les branches actives et supportées de PHP seront fixées, à savoir les versions 8.2 et +. Les versions 8.0, 8.1, et plus anciennes, ne seront pas fixées.
Pour le moment, nous ne savons pas quelles seront les versions de PHP qui seront corrigées.
Une solution temporaire : https://github.com/syhunt/php2shell-protection
