Accueil > Actualités > Alerte sécurité PHP : deux vulnérabilités critiques à corriger sans délai

Alerte sécurité PHP : deux vulnérabilités critiques à corriger sans délai

27 Oct. 2026

Vulnérabilités PHP Un score de criticité de 9,2

Deux vulnérabilités critiques ont été identifiées dans PHP : CVE-2026-109618 et CVE-2026-109619, toutes deux associées à un score CVSS de 9,2.

Ces deux failles peuvent permettre l’exécution de code arbitraire à distance et représentent donc un risque important pour les environnements PHP concernés.

L’équipe de sécurité PHP considère qu’il s’agit d’un risque prioritaire et recommande d’agir immédiatement.

Quels sont les risques ?

Les deux vulnérabilités concernées sont interdépendantes et affectent différents périmètres de PHP :

  • CVE-2026-109618 concerne une corruption de mémoire liée à une situation de saturation de la mémoire (OOM).
  • CVE-2026-109619 permet une RCE liée à la persistance d’un état global obsolète.

Ces vulnérabilités peuvent permettre à un attaquant non authentifié disposant d’un accès réseau via HTTP d’exécuter du code à distance avec les privilèges du compte du processus web. Une exploitation réussie pourrait ainsi avoir des conséquences importantes sur la confidentialité, l’intégrité et la disponibilité des données et des services.

Quelles versions de PHP sont concernées ?

Les versions anciennes de PHP, notamment les branches 5.x, 6.x, 7.x, 8.0.x et 8.1.x, qui ne sont plus maintenues par l’éditeur, sont particulièrement exposées.

PHP BRANCHVULNERABLE RELEASESFIRST FIXED RELEASE
8.2<8.2.358.2.35
8.3<8.3.368.3.36
8.4<8.4.278.4.27
8.5<8.5.128.5.12

Des correctifs de sécurité ont été publiés le 21 octobre 2026.

Nos recommandations

Compte tenu de la criticité de ces vulnérabilités et du risque d’exécution de code à distance, nous recommandons de vérifier sans délai les versions de PHP présentes dans votre système d’information et d’appliquer les correctifs disponibles.

  • Vérifier, identifier, isoler et prioriser les équipements exposés utilisant les versions concernées de PHP.
  • Appliquer les correctifs de sécurité dans les meilleurs délais.
  • Mettre à jour PHP vers une version corrigée correspondant à votre branche : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.

Liens utiles

Un doute ? Une question ? ACESI vous accompagne

Demandez une expertise

Nos équipes sont à votre disposition pour vous éclairer et vous conseiller.

Contactez-nous pour planifier un rendez-vous avec l’un de nos consultants.

Retour aux actualités
Ces articles peuvent vous intéresser