Comme promis, PHP a distribué les mises à jour de sécurité suite à la divulgation de deux CVE critiques plus tôt dans la journée.
Il s’agit des versions : 8.5.12, 8.3.35 et 8.2.35. Attention : les versions de PHP ne seront pas patchées. Ces patchs corrigent les failles permettant d’exécuter du code distant.
Toutes les installations PHP ayant des requêtes web, sont impactées. mod_php est considéré en risque très élevé.
Les vulnérabilités :
- exécution de code distant avec une corruption suite à un dépassement mémoire
- exécution de code distant via un état global obsolète : un état appartenant à une requête peut persister après la libération de sa mémoire. Une requête ultérieure, par le même worker, peut utiliser cet état avant qu’une initialisation ne soit faite
Les distributions Linux recevront des patchs : vérifier auprès de l’éditeur de la distribution
Si vous ne pouvez pas effectuer de mise à jour immédiatement : bien qu'une mise à jour soit la seule solution complète, les mesures suivantes réduisent l'exposition à des vecteurs d'attaque spécifiques, mais ne garantissent pas qu'une installation soit sûre.
Note de version : https://www.php.net/index.php#2026-10-21-5
