Le 21 octobre 2026, l'équipe de développement PHP a publié plusieurs mises à jour de sécurité corrigeant deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619.
Ces vulnérabilités peuvent permettre à un attaquant distant non authentifié d'exécuter du code arbitraire sur un serveur vulnérable, compromettant potentiellement le système et les données hébergées
Les applications web reposant sur PHP, notamment les CMS WordPress et TYPO3, peuvent être concernées si leur environnement utilise une version vulnérable de PHP.
Versions concernées et corrigées
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 affectent les différentes branches de PHP, y compris les anciennes versions qui ne sont plus maintenues.
L'équipe de développement PHP a publié le 21 octobre 2026 les versions corrigées suivantes :
PHP 8.5 : version 8.5.12.
PHP 8.4 : version 8.4.27.
PHP 8.3 : version 8.3.36.
PHP 8.2 : version 8.2.35.
Les versions PHP 8.1 et antérieures ne bénéficient plus du support officiel de l'équipe PHP.
Il est recommandé de migrer vers une branche maintenue ou d'appliquer les correctifs de sécurité spécifiques lorsqu'ils sont fournis par les éditeurs des distributions.
À noter que PHP 8.2 arrivera en fin de support le 31 décembre 2026.
Recommandations
Il est fortement recommandé de :
Mettre à jour immédiatement PHP vers une version corrigée.
Identifier les serveurs et applications web utilisant PHP, notamment ceux accessibles depuis Internet.
Vérifier les versions de PHP intégrées aux solutions et applications tierces.
Prévoir la migration des versions PHP arrivant en fin de support.
Mesures d'atténuation temporaires
Dans l'attente de l'application des correctifs, les mesures suivantes peuvent être envisagées afin de réduire l'exposition des serveurs :
Désactiver, lorsque cela est possible, le suivi de progression des téléversements de session PHP avec le paramètre session.upload_progress.enabled = Off.
Évaluer le blocage des requêtes HTTP multipart/form-data au niveau du serveur web ou du reverse proxy, lorsque les besoins applicatifs le permettent.
Ces mesures doivent être évaluées en fonction des contraintes techniques et des fonctionnalités des applications concernées.
Le NCSC rappelle que ces mesures peuvent réduire la surface d'attaque, mais ne garantissent pas une protection complète. L'application des correctifs de sécurité reste indispensable.