Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). Pour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l'éditeur n'assure plus le support, le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.
Ces contournements provisoires ne sont pas qualifiés par le CERT-FR :
`` session.upload_progress.enabled = Off ``
Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable <code>php_admin_flag</code> comme suit : `` php_admin_flag[session.upload_progress.enabled] = off ``
La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Il est à noter que cette mesure d'atténuation ne réduit la surface d'attaque que contre l'une des deux vulnérabilités.
Si le blocage ne peut être appliqué, il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête.
Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall).
PHP toutes versions 6.x
PHP toutes versions 7.x
PHP toutes versions 8.x
PHP toutes versions 5.x
Consulter le bulletin officiel sur cert.cyber.gouv.fr →
Contenu provenant de sources officielles (CERT-FR / CISA), reproduit tel quel (y compris en anglais pour CISA KEV) sans traduction ni ajout d'information non fournie par la source.