PHP : alertes de sécurité critiques sur plusieurs versions

Alerte de sécurité CERTFR-2026-ALE-014

Le CERT-FR a émis un bulletin d'alerte (référence CERTFR-2026-ALE-014, mis à jour le 22 octobre 2026) signalant de multiples vulnérabilités affectant l'environnement PHP. Le risque identifié est l'exécution de code arbitraire à distance (RCE).

Le CERT-FR a connaissance de preuves de concept (PoC) pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 concernant des déploiements spécifiques de PHP source.

Systèmes et versions affectés

Les vulnérabilités touchent un large spectre de versions, incluant des versions qui ne bénéficient plus de support officiel :

• PHP toutes versions 5.x, 7.x, 8.0.x et 8.1.x
• PHP versions 8.2.x antérieures à 8.2.35
• PHP versions 8.3.x antérieures à 8.3.36
• PHP versions 8.4.x antérieures à 8.4.27
• PHP versions 8.5.x antérieures à 8.5.12 source

Recommandations

Face à ce risque, le CERT-FR recommande d'isoler les équipements affectés et de procéder à la migration vers une version maintenue incluant les derniers correctifs de sécurité dès leur publication par l'éditeur source.

Les correctifs de sécurité sont disponibles sur le site officiel de PHP source.