PHP : deux failles critiques notées 9,2, correctifs publiés

Palo Alto Networks a appelé les entreprises du monde entier à vérifier et à traiter deux vulnérabilités critiques de PHP, CVE-2026-109618 et CVE-2026-109619, rendues publiques le 22 octobre, selon dailysecu.com. PHP a de son côté publié des versions corrigées.

Les deux failles sont notées 9,2 sur l'échelle de gravité CVSS 4.0 et pourraient permettre une exécution de code à distance. CVE-2026-109618 concerne un état de traitement des requêtes laissé anormal en situation de mémoire insuffisante ; CVE-2026-109619 est une faille de type use-after-free.

L'unité 42, l'équipe de recherche sur les menaces de Palo Alto Networks, estime que plus de 22,6 millions d'instances PHP exposées sur internet entrent dans le périmètre d'impact potentiel, sans indiquer que toutes seraient exploitables ou compromises.

Palo Alto Networks indique que sa fonction de correctif virtuel Frontier Virtual Patching a assuré une protection avant la publication officielle, et que ses pare-feu de nouvelle génération ainsi que Prisma Access peuvent bloquer les attaques associées.

Versions corrigées et recommandations

PHP a publié les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12, et les entreprises encore sur PHP 8.1 ou antérieur, non pris en charge, sont invitées à migrer. Palo Alto Networks recommande cinq mesures, dont la cartographie de l'exposition aux logiciels open source, la priorisation des risques, la sécurisation de l'adoption de l'IA, le correctif virtuel et des opérations de sécurité en temps réel pilotées par l'IA.