Le projet PHP a publié des mises à jour d'urgence pour PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, corrigeant deux vulnérabilités critiques qui permettent à un attaquant non authentifié d'exécuter du code sur les serveurs faisant tourner PHP. La PHP Foundation avertit : si vous utilisez PHP, la mise à jour est impérative.
Les failles se situent dans la gestion de la mémoire et le traitement des erreurs, des parties du moteur que presque chaque requête sollicite. Le problème principal est identifié sous la référence CVE-2026-109618 et porte un score CVSS de 9.2, même si un score de 10.0 avait circulé avant l'annonce officielle. Des exploits circulent depuis la nuit du 20 octobre après une fuite dans le processus de divulgation coordonnée, ce qui rend la correction immédiate urgente.
Qu'est-ce que la CVE-2026-109618 ?
Selon la PHP Foundation, la cause première remonte à 2024, lorsqu'un problème de mémoire insuffisante (OOM) a été détecté lors du premier audit de sécurité externe de PHP depuis des années. Cet audit a été financé par la Sovereign Tech Agency via OSTIF et réalisé par Quarkslab. Un exploit théorique avait été évoqué à l'époque, mais aucun vecteur d'attaque concret n'avait été trouvé.
Corriger le problème OOM s'est révélé extrêmement difficile. L'équipe de sécurité a développé plusieurs approches concurrentes, mais chacune cassait la compatibilité ascendante, introduisait de nouveaux risques de déni de service, ou exigeait des changements dans de nombreuses extensions tierces impossibles à coordonner. Comme l'équipe fonctionne par consensus et manquait d'un chemin connu vers l'exécution de code à distance, les travaux ont été interrompus puis repris pendant des mois. La Fondation qualifie désormais ce retard d'échec structurel, causé par le processus de décision et le manque de ressources.
