Exécution de code à distance affectant PHP

  • Auteur/autrice de la publication :

Origine : bjCSIRT

Numéro : 2026/ALERTE/130

APERÇU :

Deux vulnérabilités critiques affectant le cœur de PHP permettraient à un acteur malveillant non authentifié d’exécuter du code arbitraire à distance sur les systèmes affectés.

DESCRIPTION :

PHP est un langage de programmation open source largement utilisé pour le développement d’applications web.

L’équipe de sécurité de PHP a annoncé la publication de correctifs pour deux vulnérabilités critiques, libellées CVE-2026-109618 et CVE-2026-109619, affectant le cœur de PHP.

D’après les informations disponibles, ces deux vulnérabilités résulteraient d’erreurs de gestion mémoire de type « use-after-free » dans le traitement des requêtes HTTP POST au format multipart/form-data. La première résiderait dans le mécanisme de suivi de progression des téléversements (fonction php_session_rfc1867_callback de l’extension session, pilotée par la directive session.upload_progress.enabled, activée par défaut) et la seconde dans l’analyseur multipart lui-même. L’exploitation de ces vulnérabilités permettraient à un acteur malveillant non authentifié d’exécuter du code à distance sur les systèmes affectés.

Elles sont classées critiques avec un score de sévérité de 9.2 selon le CVSS v4.0.

IMPACT

  • Exécution de code arbitraire à distance ;
  • Atteinte à la confidentialité des données ;
  • Atteinte à l’intégrité du système et des données ;
  • Atteinte à la disponibilité des données.

SYSTEMES AFFECTÉS 

  • PHP 8.5.x antérieures à 8.5.12 ;
  • PHP 8.4.x antérieures à 8.4.27 ;
  • PHP 8.3.x antérieures à 8.3.36 ;
  • PHP 8.2.x antérieures à 8.2.35 ;
  • PHP 8.1 et antérieures (fin de vie).

 MESURES À PRENDRE :

  • Mettre à jour PHP vers les versions 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou ultérieure, selon la branche utilisée, puis redémarrer PHP-FPM ou le serveur web ;
  • Désactiver, en attendant le correctif, le suivi de téléversement dans les fichiers php.ini, .user.ini et .htaccess au moyen de la directive session.upload_progress.enabled = Off, puis recharger PHP-FPM ou le serveur web ;
  • Configurer le WAF ou le reverse proxy afin de bloquer ou de limiter les requêtes POST de type multipart/form-data volumineuses vers les points d’entrée qui n’attendent pas de téléversement de fichier ;
  • Inventorier l’ensemble des serveurs et applications utilisant PHP (ceux exposés sur Internet en priorité), avec leur version et leur branche ;
  • Renforcer la surveillance des journaux web et applicatifs afin de détecter toute requête ou tout comportement anormal.

RÉFÉRENCES :

  • https://www.php.net/archive/2026.php#2026-10-21-1
  • https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
  • https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
  • https://nvd.nist.gov/vuln/detail/CVE-2026-109618
  • https://nvd.nist.gov/vuln/detail/CVE-2026-109619