Bulletin d'alerte du CERT-FR
Objet : [Màj] Multiples vulnérabilités dans PHP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- PHP toutes versions 5.x
- PHP toutes versions 6.x
- PHP toutes versions 7.x
- PHP toutes versions 8.0.x
- PHP toutes versions 8.1.x
- PHP versions 8.2.x antérieures à 8.2.35
- PHP versions 8.3.x antérieures à 8.3.36
- PHP versions 8.4.x antérieures à 8.4.27
- PHP versions 8.5.x antérieures à 8.5.12
Résumé
[Mise à jours du 21 octobre 2026]
Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
[Publication Initiale]
Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC).
Pour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l'éditeur n'assure plus le support.
Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.
Contournement provisoire
Ces contournements provisoires ne sont pas qualifiés par le CERT-FR :
- appliquer la configuration suivante dans le fichier
php.ini:
session.upload_progress.enabled = Off
Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit :
php_admin_flag[session.upload_progress.enabled] = off
La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Il est à noter que cette mesure d'atténuation ne réduit la surface d'attaque que contre l'une des deux vulnérabilités.
- bloquer toutes requêtes HTTP dont l'en-tête contient un Content-Type positionné à la valeur multipart. Si le blocage ne peut être appliqué, il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête.
Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall).
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Communication de PHP du 20 octobre 2026
https://www.php.net/archive/2026.php#2026-10-20-1 -
Bulletin de sécurité PHP du 21 octobre 2026
https://www.php.net/index.php#2026-10-21-2 -
Bulletin de sécurité PHP du 21 octobre 2026
https://www.php.net/index.php#2026-10-21-3 -
Bulletin de sécurité PHP du 21 octobre 2026
https://www.php.net/index.php#2026-10-21-1 -
Bulletin de sécurité PHP du 21 octobre 2026
https://www.php.net/index.php#2026-10-21-4 -
Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026
/avis/CERTFR-2026-AVI-1359/ -
Bulletin de sécurité PHP GHSA-6wmf-4rv5-p3rp
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp -
Bulletin de sécurité PHP GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w -
Communication du CERT-EU
https://cert.europa.eu/publications/security-advisories/2026-018/ -
Fiche réflexe : Compromission d'un équipement de bordure réseau - Endiguement
https://cert.cyber.gouv.fr/fiche/CERTFR-2025-RFX-002/ -
Référence CVE CVE-2026-109618
https://www.cve.org/CVERecord?id=CVE-2026-109618 -
Référence CVE CVE-2026-109619
https://www.cve.org/CVERecord?id=CVE-2026-109619
Gestion détaillée du document
| Date | Description |
|---|---|
| 21 octobre 2026 | Version initiale |
| 21 octobre 2026 | Mises à jour des risques, des systèmes affectés et ajout des correctifs de sécurité |