Deux failles critiques touchent PHP. Les correctifs sont annoncés pour le 21 octobre à 16 h, heure de Paris. Le CERT-EU appelle à préparer les mises à jour.
L’équipe de sécurité de PHP annonce une mise à jour pour deux vulnérabilités critiques, chacune notée 9,2 sur 10 selon CVSS v4.0. La sortie est prévue le 21 octobre 2026 à 14 h UTC, soit 16 h à Paris. Le CERT-EU recommande de préparer dès maintenant le déploiement des correctifs.
Son alerte référence CVE-2026-109618 et CVE-2026-109619 et évoque un risque d’exécution de code à distance, sur la base d’informations ayant circulé avant la publication officielle des détails. L’étendue exacte des versions touchées reste à confirmer : PHP précise que les détails techniques, les versions vulnérables et les versions corrigées seront publiés avec la mise à jour.
Si vous administrez des applications PHP, identifiez les installations concernées et préparez leur mise à jour dès la disponibilité des correctifs. Lorsque la correction immédiate n’est pas possible, le CERT-EU recommande d’envisager d’isoler du réseau public les applications exposées à Internet.
Alerte du CERT-EU
Annonce officielle de PHP