PHP publie une mesure d'atténuation pour une faille RCE non corrigée

L'équipe de sécurité de PHP a publié une mesure d'atténuation pour une vulnérabilité d'exécution de code à distance (RCE) suivie sous la référence CVE-2026-115560, qui ne dispose pas encore de correctif, selon bleepingcomputer.com. L'annonce a été faite le 23 octobre 2026.

La faille n'est exploitable que sur les systèmes où session.serialize_handler est défini sur php_binary ou php_serialize, puis basculé vers php à l'exécution via ini_set() avant session_start(), avec la progression de l'envoi de session activée.

L'équipe PHP indique que l'avis complet pour CVE-2026-115560 sera publié avec la prochaine version. En attendant un correctif, elle recommande de définir session.upload_progress.enabled=0.

Tentatives d'exploitation avant divulgation

Le même jour, l'équipe de sécurité de PHP a confirmé de larges tentatives d'exploitation visant les failles PHP2Shell, corrigées mercredi et suivies comme CVE-2026-109618 et CVE-2026-109619. Des chercheurs d'Amazon Threat Intelligence ont indiqué que les attaquants ont commencé à cibler ces vulnérabilités quatre jours avant la publication des correctifs.

Plusieurs entreprises de cybersécurité ont détecté des tentatives d'exploitation infructueuses avant la divulgation publique. L'équipe TRACE de Dataminr a rapporté une activité limitée à la reconnaissance, au fingerprinting et à des exploits non fonctionnels, sans compromission connue, dans un rapport publié jeudi.

PHP est un langage open source utilisé par près de 70 % des sites web. Selon les estimations de VirusTotal, plus de 5,1 millions d'hôtes PHP sont exposés en ligne, dont environ 3,8 millions ont au moins un port ouvert aux attaques.