PHP a publié des mises à jour de sécurité d'urgence pour deux vulnérabilités critiques pouvant permettre l'exécution de code à distance sur des serveurs web vulnérables. Les failles, référencées CVE-2026-109618 et CVE-2026-109619, toucheraient selon les informations disponibles un large éventail d'installations PHP.
Les administrateurs doivent passer à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, selon la branche utilisée. Ubuntu a également diffusé des paquets PHP mis à jour.
Le rapport de KrebsOnSecurity décrit les deux vulnérabilités comme des failles zero-day et indique que des experts ont observé des exploits fonctionnels ainsi que des attaques réelles. Cloudflare a signalé séparément avoir détecté des exploitations et indique avoir déployé des règles de pare-feu applicatif web à 3 h 02 (UTC).
Fonctionnement des deux vulnérabilités PHP
Les deux bogues impliquent une gestion dangereuse de la mémoire entre les contextes de traitement des requêtes PHP, mais ils aboutissent à cette situation par des mécanismes différents.
Pour CVE-2026-109618, PHP utilise longjmp() pour quitter le contexte courant lorsqu'une erreur de mémoire insuffisante survient et interrompre la requête. Dans certains contextes, le logiciel peut ensuite effectuer une allocation alors que la mémoire de la requête n'est pas initialisée. Le code de nettoyage peut alors lire cette mémoire ou prendre des décisions de flux de contrôle en fonction de son contenu. Selon la description de la NVD, plusieurs stratégies de gestion de la mémoire insuffisante peuvent atteindre cette situation de façon fiable et conduire à une exécution de code à distance.
CVE-2026-109619 concerne un état PHP global qui pointe temporairement vers la mémoire appartenant à une requête. Cet état peut ne pas être réinitialisé correctement, ou être de nouveau rempli après une réinitialisation. Il peut donc continuer à référencer la mémoire de la requête après sa libération. Une requête ultérieure peut lire cet état obsolète ou se brancher en fonction de celui-ci avant la fin de l'initialisation, ce qui ouvre à nouveau une voie vers une exécution de code à distance.
Les deux vulnérabilités sont associées aux classifications CWE-416, CWE-755, CWE-824 et CWE-1325, qui couvrent respectivement l'utilisation après libération, la gestion inappropriée des situations exceptionnelles, l'accès à des pointeurs non initialisés et le contrôle inapproprié de l'allocation séquentielle de mémoire.
Un périmètre touché large, mais décrit différemment
Le rapport indique que les serveurs web exécutant PHP 5.4 ou une version ultérieure sont concernés. Wiz, l'une des organisations créditées pour la découverte des failles, affirme que toutes les versions de PHP publiées au cours de la dernière décennie sont vulnérables à au moins une des deux failles.
Le même rapport indique que près de 70 % des sites web doivent mettre à jour leur logiciel de base, sans toutefois préciser la source de cette estimation. Ce pourcentage concerne des sites web et non un décompte de serveurs, de clients, de comptes ou de personnes touchées.
PHP est largement utilisé par les sites construits avec Drupal, Magento, Joomla et WordPress. Cela ne signifie pas que les failles se trouvent dans ces plateformes de gestion de contenu ou de commerce : les défauts signalés se situent dans l'environnement d'exécution PHP sous-jacent.
Une exploitation pourrait conduire à la prise de contrôle des serveurs et à une fuite de données
Cloudflare cite le déni de service, l'exécution de code à distance et l'exposition de données parmi les conséquences possibles. Ses règles WAF peuvent aider à bloquer le trafic d'attaque reconnu, mais elles ne remplacent pas l'installation des paquets PHP corrigés.
Wiz s'attend à ce que les attaquants mènent une exploitation à grande échelle et déploient des web shells. Un web shell offrirait à un intrus un mécanisme accessible depuis un navigateur pour exécuter des commandes et conserver le contrôle à distance d'un site compromis. Il s'agit de l'évaluation de Wiz sur le comportement probable des attaquants, et non de la preuve que chaque tentative observée a installé un tel outil.
Selon Reuters, tel que cité par KrebsOnSecurity, des sites gouvernementaux en Europe et dans d'autres régions sont devenus inaccessibles après la divulgation des vulnérabilités. Ce reportage n'établit pas que les failles PHP aient causé ces interruptions.
Wiz et OpenAI décrivent une recherche d'exploits assistée par l'IA
Wiz a déclaré que démontrer l'exploitabilité nécessitait une « chaîne d'étapes exceptionnellement complexe ». L'entreprise affirme que les modèles d'IA de pointe ont considérablement réduit cette barrière technique.
OpenAI aurait participé à la recherche de vulnérabilités et à la coordination, tandis que Wiz indique s'être coordonné avec l'équipe PHP et OpenAI avant la divulgation publique afin d'évaluer l'ampleur potentielle, de vérifier les correctifs et de préparer la divulgation. La contribution revendiquée des modèles d'IA reste une affirmation des organisations concernées, et non une capacité démontrée de façon indépendante.
OpenAI a qualifié ces failles de « l'un des problèmes de sécurité ayant le plus d'impact de ces dernières années », en citant à la fois leur gravité et le déploiement étendu de PHP. Wiz a comparé les difficultés potentielles de remédiation à celles de Log4Shell et a indiqué que les défauts de PHP existaient depuis des décennies.
Ce que doivent faire les administrateurs PHP
Les exploitants devraient identifier la version de PHP en fonctionnement sur les serveurs exposés à Internet et sur les serveurs internes, y compris les installations fournies par des panneaux d'hébergement, des conteneurs, des appliances et les dépôts des systèmes d'exploitation. Les versions corrigées disponibles sont les suivantes :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les utilisateurs d'Ubuntu doivent installer les paquets PHP mis à jour fournis par la distribution. Les organisations qui utilisent Cloudflare peuvent bénéficier des protections WAF récemment déployées, mais doivent tout de même corriger l'environnement d'exécution lui-même.
Comme des exploitations ont été signalées, les systèmes PHP exposés doivent être traités en priorité et ne pas attendre le cycle de maintenance habituel. Après la mise à jour, les administrateurs devraient examiner l'activité des serveurs à la recherche de fichiers accessibles depuis le web qui n'étaient pas prévus, d'exécutions de commandes inexpliquées, de processus enfants inhabituels et de modifications non autorisées pouvant indiquer la présence d'un web shell ou une compromission antérieure.
