PHP : Séoul publie une FAQ de sécurité après trois failles critiques

Le ministère sud-coréen de la Science et des TIC et l'Agence coréenne pour l'internet et la sécurité (KISA) ont publié une FAQ de sécurité intitulée « PHP2Shell » invitant les exploitants de sites PHP à vérifier et à mettre à jour leurs systèmes, selon digitaltoday.co.kr. L'annonce fait suite à la confirmation de trois vulnérabilités d'exécution de code à distance permettant à un attaquant de lancer des commandes malveillantes sur un serveur sans authentification.

Deux d'entre elles, référencées CVE-2026-109618 et CVE-2026-109619, ont été divulguées le 21 octobre 2026 et le ministère a recommandé une mise à jour immédiate. Une troisième, CVE-2026-115560, divulguée le 24 octobre 2026, exige une configuration spécifique avec « session.upload_progress.enabled=0 » ainsi qu'un redémarrage du processus PHP jusqu'à la publication d'un correctif.

La KISA cite comme versions sûres PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ou ultérieures. Les exploitants sont invités à consulter les journaux d'accès aux serveurs et les modifications de fichiers depuis le 20 octobre, et à remplacer les mots de passe des bases de données, des comptes administrateurs et les clés d'intégration aux services externes.

En cas de compromission suspectée, les serveurs ne doivent pas être éteints immédiatement, afin de préserver les preuves en mémoire. Les incidents peuvent être signalés au 118 ou via le portail Bohonara de la KISA.

Une branche 8.2 bientôt orpheline

Ce rappel intervient alors que le support de sécurité de PHP 8.2 doit s'arrêter le 31 décembre 2026, les versions 8.1 et antérieures n'étant déjà plus prises en charge.