PHP publiera le 21 octobre des correctifs pour deux failles critiques notées 9,2
L'équipe de sécurité de PHP prévoit des mises à jour à 14 h UTC, alors que des détails sur deux vulnérabilités RCE ont fuité avant l'échéance prévue.
L'équipe de développement de PHP a annoncé la publication, mercredi 21 octobre à 14 h UTC, de mises à jour de sécurité destinées à corriger deux vulnérabilités, selon bleepingcomputer.com. Chacune de ces failles est évaluée à 9,2 selon le système CVSS v4.0 par l'équipe de sécurité de PHP.
Cette dernière a adressé un avis à sa liste de diffusion ANNOUNCE pour inviter les administrateurs à installer les correctifs dès leur disponibilité. Elle précise qu'elle se réserve le droit de les publier plus tôt si des détails deviennent publics ou si des preuves d'une exploitation active apparaissent.
PHP n'a pas indiqué quelles versions du langage sont concernées, ni quelles publications contiendront les correctifs. L'équipe de sécurité a précisé qu'elle publierait les détails techniques complets, les versions affectées et les versions corrigées au moment de la mise à disposition des mises à jour.
Fuite d'informations avant l'échéance
La société de recherche en sécurité watchTowr a déclaré à BleepingComputer que les failles sont référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619 et qu'elles toucheraient, selon elle, les versions 5, 6, 7 et 8 de PHP. Son directeur général, Benjamin Harris, a affirmé que les deux vulnérabilités d'exécution de code à distance avaient fuité dans l'heure précédente et qu'elles étaient initialement prévues pour une divulgation le jeudi à 11 h HE.
watchTowr indique penser avoir reproduit CVE-2026-109618, mais ne publiera pas d'informations techniques avant la disponibilité des correctifs. La société précise n'avoir observé aucune exploitation de ces failles dans la nature. Elle a également signalé sur X que des informations sur ces vulnérabilités zero-day sous embargo avaient fuité.
Une publication désormais supprimée sur Hacker News, signée de l'utilisateur petecooper, affirmait que les deux failles seraient divulguées le 22 octobre et leur attribuait des scores CVSS de 10,0. PHP alimente de nombreux sites et applications web, notamment des systèmes de gestion de contenu, des plateformes de commerce en ligne et des services web sur mesure.
En bref
Quand les correctifs PHP seront-ils publiés ?
L'équipe de développement de PHP prévoit de publier les mises à jour de sécurité le mercredi 21 octobre à 14 h UTC, avec la possibilité de les avancer.
Quelles versions de PHP sont concernées ?
PHP n'a pas précisé les versions affectées. watchTowr estime que les failles touchent les versions 5, 6, 7 et 8.
Quel est le niveau de gravité des failles ?
L'équipe de sécurité de PHP évalue chacune des deux vulnérabilités à 9,2 selon CVSS v4.0.