Failles critiques PHP
Le 21 octobre 2026, PHP a publié un avis de sécurité concernant deux failles de sécurité graves, chacune ayant une note CVSS v4.0 de 9,2 :
- CVE-2026-109618
- CVE-2026-109619
Les deux CVE en détail
Selon l'avis officiel de PHP, ces deux failles permettent à un attaquant non authentifié d'exécuter du code à distance (RCE) sur un serveur exécutant PHP.
- CVE-2026-109618 : exécution de code à distance via une corruption mémoire provoquée par un manque de mémoire (OOM). La gestion d'un manque de mémoire peut interrompre PHP alors que les données internes de la requête ne sont que partiellement initialisées. Le nettoyage peut alors traiter des données invalides comme valides (GHSA-w8hw-w9fx-j79w).
- CVE-2026-109619 : exécution de code à distance via un état global résiduel. Un état interne propre à une requête peut subsister après la libération de la mémoire qui le supporte. Une requête suivante traitée par le même worker peut alors l'utiliser avant son initialisation (GHSA-6wmf-4rv5-p3rp).
Sont concernés les environnements PHP qui traitent des requêtes web : PHP-FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est le plus élevé avec mod_php.
Impacts possibles
En fonction de l'exposition sur internet des serveurs PHP ainsi que de leur niveau de privilège, les impacts peuvent inclure :
- un déni de service ;
- l'exfiltration de données ;
- la prise de contrôle du système d'information ;
- l'interruption d'activité.
Ces vulnérabilités sont particulièrement critiques pour les sites transactionnels, qui manipulent des données sensibles ou qui disposent de connexions vers des systèmes internes.
Correctifs de l'éditeur
PHP a publié des versions corrigées :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les versions PHP 8.1 et antérieures ne reçoivent plus de mises à jour : il faut s'appuyer sur les correctifs rétroportés par l'éditeur de votre distribution ou par un support à long terme (LTS).
PHP indique aussi des mesures qui réduisent l'exposition sans corriger les failles : désactiver la limite mémoire (memory_limit=-1), définir un post_max_size bas, garder upload_max_filesize inférieur à post_max_size, limiter les requêtes, utiliser des limites de ressources de type cgroup, et désactiver session.upload_progress.enabled. Elles ne remplacent pas la mise à jour.
Source : avis de sécurité officiel publié sur php.net.
Alerte du CERT-FR
Le CERT-FR a publié une alerte de sécurité. Il recommande, lorsque cela est possible, d'isoler les serveurs concernés jusqu'à l'application de la mise à jour intégrant les correctifs de sécurité disponibles sur le site de l'éditeur.
Les informations actualisées sur les vulnérabilités, les versions affectées et les recommandations à appliquer sont à consulter dans l'alerte du CERT-FR : CERTFR-2026-ALE-014.
Une alerte relayée en Europe
Plusieurs CERT nationaux européens ont également partagé et relayé l'alerte de cybersécurité concernant ces vulnérabilités. Ces alertes peuvent être consultées dans l'avis de synthèse publié sur GitHub par l'ENISA.
Règles de protection déployées
Le WAF d'Activ Security, basé sur le moteur ASE « Advanced Security Engine », atténue les charges utiles malveillantes grâce à des règles d'injection de commandes existantes. Une mise à jour de sécurité pour corriger ces vulnérabilités CVE et surveiller les tentatives d'exploitation a été appliquée ce jour :
Moteur de sécurité adaptatif : 3000991 v1 - Attaque d'exécution de code à distance PHP détectée (CVE-2026-109618, CVE-2026-109619)
CVE couvertes
La règle 3000991 v1 est associée aux deux CVE : CVE-2026-109618 et CVE-2026-109619.
Activation automatique
Cette mise à jour s'applique automatiquement à l'ensemble des applications déployées sur le WAF d'Activ Security ainsi qu'aux prochaines.
Aucune mise à jour de règle de sécurité n'est nécessaire sur le WAF d'Activ Security.
Impact sur le fonctionnement des applications
Cette évolution est transparente pour le fonctionnement des applications protégées par le WAF.
Défense
La défense la plus efficace reste l'application rapide des correctifs des fournisseurs.
L’analyse flash réalisée automatiquement chaque nuit alertera si l’une de ces CVE est détectée de manière passive. En complément, nous recommandons la réalisation d’une analyse dynamique, externe et authentifiée depuis la plateforme.
Pour les applications non protégées par un WAF qui sont dans l'impossibilité d'appliquer un correctif, l'activation d'un WAF sur ce périmètre est fortement recommandée.
