Le 21 octobre 2026, deux vulnérabilités critiques affectant PHP ont été rendues publiques sous les références CVE-2026-109618 et CVE-2026-109619. Avec un score CVSS de 9,2/10 chacune, ces failles peuvent permettre à un attaquant distant d'exécuter du code arbitraire sur un serveur vulnérable, sans authentification préalable.
Une première communication de l'équipe PHP avait été publiée le 20 octobre 2026, annonçant la disponibilité des correctifs pour le lendemain, à 16h, heure de Paris.
CVE-2026-109618 et CVE-2026-109619 : deuxvulnérabilités critiques au cœur de PHP
Ces deux vulnérabilités touchent directement le moteur d'exécution de PHP. Elles reposent sur des erreurs de gestion de la mémoire pouvant entraîner une corruption mémoire et, dans certaines conditions, une exécution de code à distance (Remote Code Execution, ou RCE).
CVE-2026-109618 :
Un attaquant distant non authentifié peut provoquer des conditions de manque de mémoire dans PHP pour corrompre la mémoire et réaliser une exécution de code à distance sur des serveurs Web. La sévérité est critique et l'urgence est immédiate car plusieurs CERT nationaux ont émis des avis urgents concernant la disponibilité active de correctifs de sécurité et le risque de compromission totale du système sans authentification.
CVE-2026-109619 :
Une erreur de suivi de l’état de la mémoire dans le moteur PHP permet à un attaquant distant non authentifié de déclencher une condition use-after-free en exploitant un état global périmé référençant une mémoire de libérée, ce qui entraîne une exécution de code à distance arbitraire sur toutes les configurations principales de serveurs web, y compris Apache, Nginx et PHP-FPM. La sévérité est critique et l’urgence immédiate : plusieurs CERT nationaux ont émis des avertissements urgents pour une publication coordonnée de correctifs, et la vulnérabilité affecte le runtime de langage de base utilisé par la majorité du web, créant une surface d’attaque massive malgré l’absence d’exploit public confirmé.
Quelles versions de PHP sont affectées ?
Les vulnérabilités concernent les versions PHP suivantes :
PHP toutes versions 5.x
PHP toutes versions 6.x
PHP toutes versions 7.x
PHP toutes versions 8.0.x
PHP toutes versions 8.1.x
PHP versions 8.2.x antérieures à 8.2.35
PHP versions 8.3.x antérieures à 8.3.36
PHP versions 8.4.x antérieures à 8.4.27
PHP versions 8.5.x antérieures à 8.5.12
Pour les versions PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x, aucun correctif n'est proposé dans le cadre du support officiel de PHP, ces branches ayant atteint leur fin de vie.
Quels environnements sont exposés ?
Les vulnérabilités concernent différents modes d'exécution de PHP, notamment les environnements reposant sur Apache avec mod_php et PHP-FPM.
Les conditions d'exploitation varient selon les configurations. Certains scénarios ont notamment été démontrés sur mod_php et PHP-FPM, tandis que d'autres environnements peuvent nécessiter des conditions supplémentaires.
Les serveurs web accessibles depuis Internet constituent une priorité, car ils peuvent recevoir des requêtes spécialement conçues pour déclencher les comportements vulnérables.
Comment détecter les CVE-2026-109618 etCVE-2026-109619 ?
Vérifiez si vous utilisez l'une des versions de PHP mentionnées plus haut dans cet article.
Les utilisateurs de la plateforme de gestion des vulnérabilités Cyberwatch peuvent d'ores et déjà détecter cette vulnérabilité depuis le 21 octobre 2026. N'hésitez pas à contacter notre équipe pour toute demande d'information.
