Exécution de code à distance affectant PHP

  • Auteur/autrice de la publication :

Origine : bjCSIRT

Numéro : 2026/ALERTE/137

APERÇU :

Une vulnérabilité de sévérité élevée affectant PHP pourrait permettre à un acteur malveillant non authentifié d’exécuter du code arbitraire à distance sur les serveurs vulnérables.

DESCRIPTION :

PHP est un langage de programmation principalement utilisé pour le développement d’applications et de sites Web dynamiques. 

Ce langage est affecté par une vulnérabilité libellée CVE-2026-115560, liée au traitement de la progression des téléversements de fichiers et à la sérialisation des sessions. Son exploitation nécessite une configuration particulière dans laquelle le gestionnaire de sérialisation des sessions est modifié pendant l’exécution de l’application, alors que le suivi de progression des téléversements reste activé. 

Cette vulnérabilité pourrait permettre, dans ces conditions, une exécution de code arbitraire à distance. 

IMPACT

  • Exécution de code arbitraire à distance ;
  • Compromission des serveurs affectés ;
  • Divulgation potentielle d’informations sensibles ;
  • Atteinte à l’intégrité et à la disponibilité des services.

SYSTEMES AFFECTÉS 

Les installations PHP présentant simultanément les conditions suivantes :

  • Le paramètre session.serialize_handler est initialement configuré sur php_binary ou php_serialize ;
  • L’application modifie ce paramètre vers php au moyen de ini_set() avant l’appel à session_start() ;
  • Le paramètre session.upload_progress.enabled est activé.

 MESURES À PRENDRE :

En attendant la publication d’un correctif officiel, il est recommandé de :

  • Désactiver le suivi de progression des téléversements de fichiers en définissant session.upload_progress.enabled=0 dans la configuration PHP ;
  • Redémarrer les processus PHP concernés afin d’appliquer la modification ;
  • Vérifier les applications utilisant ini_set() pour modifier dynamiquement le paramètre session.serialize_handler et supprimer cette pratique lorsque cela est possible ;
  • Appliquer les mises à jour de sécurité dès leur publication par les mainteneurs de PHP.

RÉFÉRENCES :

  • https://www.php.net/archive/2026.php#2026-10-23-1
  • https://openwall.com/lists/oss-security/2026/10/23/23
  • https://explore.alas.aws.amazon.com/CVE-2026-115560.html
  • https://www.mycert.org.my/portal/advisory?id=MA-1490.102026
  • https://nvd.nist.gov/vuln/detail/CVE-2026-115560