PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 corrigent deux failles permettant une exécution de code sans authentification. Une mise à jour immédiate est recommandée.
Les correctifs des deux vulnérabilités critiques de PHP sont disponibles depuis le 21 octobre. Les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 corrigent CVE-2026-109618 et CVE-2026-109619, qui peuvent permettre une exécution de code à distance sans authentification. L’équipe PHP recommande une mise à jour immédiate.
Après
l’alerte relayée plus tôt, les détails techniques sont désormais publics. La première faille concerne la gestion d’un épuisement de mémoire ; la seconde, des données internes conservées entre deux requêtes alors que leur mémoire a déjà été libérée.
L’équipe PHP considère le risque comme particulièrement élevé avec Apache et mod_php : une exploitation a été démontrée avant même l’exécution du code applicatif. PHP-FPM et les autres modes de déploiement web ne doivent pas pour autant être considérés comme épargnés ; les conditions d’exploitation varient selon la configuration et l’application.
Si PHP provient des dépôts de votre distribution ou d’un fournisseur de support, vérifiez ses avis de sécurité : un correctif peut être rétroporté sans reprendre les numéros de version annoncés par PHP. Pour PHP 8.1 et les branches antérieures, qui ne reçoivent plus de mises à jour officielles, vérifiez la couverture de votre fournisseur ou migrez vers une branche maintenue.
Les mesures d’atténuation publiées par PHP ne couvrent pas tous les scénarios. Un changement de configuration ne remplace pas l’installation des correctifs.
Avis de sécurité officiel et versions corrigées