CERTFR-2026-ALE-014
Vulnerability from certfr_alerte

[Mise à jour du 26 octobre 2026]
Le 23 octobre 2026, PHP a publié un avis de sécurité concernant la vulnérabilité CVE-2026-115560. Celle-ci permet une exécution de code arbitraire à distance. L'éditeur estime que les conditions d'exploitation exigent une combinaison d'options de configuration et de code applicatif peu probable. Un correctif sera donc publié à l'occasion du prochain cycle de mises à jour.

Le CERT-FR constate des tentatives d'exploitation des vulnérabilités CVE-2026-109618 et CVE-2026-109619 ciblant des déploiements spécifiques de PHP.

De plus, le CERT-FR incite à la vigilance et rappelle que le langage PHP est utilisé dans de nombreux produits, il est donc important d'appliquer les correctifs dès que ceux-ci seront disponibles. En effet, de nombreux produits sont potentiellement impactés par cette vulnérabilité. On trouvera une liste non exhaustive de cette dernière fournie par le NCSC-NL (php2shell/software/changelog_software_list.md at main · NCSC-NL/php2shell · GitHub)

[Mise à jour du 22 octobre 2026]
Le CERT-FR a connaissance de preuves de concept pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifiques de PHP.

[Mise à jour du 21 octobre 2026]
Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.

[Publication Initiale]
Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). L'éditeur n'assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x [1].

Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.

Contournements provisoires

Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation des vulnérabilités correspondantes.

PHP a publié des mesures de contournements provisoires pour réduire la surface d'attaque des vulnérabilités CVE-2026-109618 et CVE-2026-109619. L'éditeur recommande pour la vulnérabilité CVE-2026-109618 : * initialiser memory_limit=-1 ; * définir une valeur faible pour post_max_size ; * limiter les ressources mémoire utilisable par PHP.

L'éditeur recommande pour la vulnérabilité CVE-2026-109619 : * initialiser session.upload_progress.enabled=0 et redémarrer chaque processus d'arrière-plan (worker) ; * si PHP est en version 8.5.x, initialiser fatal_error_backtraces=0 et redémarrer chaque processus d'arrière-plan ; * supprimer les configurations incorrectes ou obsolètes qui sont appliquées à chaque requête et qui génèrent des messages de diagnostic avant l'initialisation ; * corriger les erreurs fatales et les délais d'exécution dépassés accessibles aux attaquants.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Impacted products
Vendor Product Description
PHP PHP PHP toutes versions 8.0.x
PHP PHP PHP versions 8.2.x antérieures à 8.2.35
PHP PHP PHP versions 8.5.x antérieures à 8.5.12
PHP PHP PHP toutes versions 8.1.x
PHP PHP PHP toutes versions 7.x
PHP PHP PHP versions 8.4.x antérieures à 8.4.27
PHP PHP PHP versions 8.3.x antérieures à 8.3.36
PHP PHP PHP toutes versions 5.x
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "PHP toutes versions 8.0.x",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP versions 8.2.x ant\u00e9rieures \u00e0 8.2.35",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP versions 8.5.x ant\u00e9rieures \u00e0 8.5.12",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP toutes versions 8.1.x",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP toutes versions 7.x",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP versions 8.4.x ant\u00e9rieures \u00e0 8.4.27",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP versions 8.3.x ant\u00e9rieures \u00e0 8.3.36",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    },
    {
      "description": "PHP toutes versions 5.x",
      "product": {
        "name": "PHP",
        "vendor": {
          "name": "PHP",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "",
  "closed_at": null,
  "content": "## Contournements provisoires\nSeule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation des vuln\u00e9rabilit\u00e9s correspondantes.\n\nPHP a publi\u00e9 des mesures de contournements provisoires pour r\u00e9duire la surface d\u0027attaque des vuln\u00e9rabilit\u00e9s CVE-2026-109618 et CVE-2026-109619. L\u0027\u00e9diteur recommande pour la vuln\u00e9rabilit\u00e9 CVE-2026-109618 :\n* initialiser \u003ccode\u003ememory_limit=-1\u003c/code\u003e ;\n* d\u00e9finir une valeur faible pour \u003ccode\u003epost_max_size\u003c/code\u003e ;\n* limiter les ressources m\u00e9moire utilisable par PHP.\n\nL\u0027\u00e9diteur recommande pour la vuln\u00e9rabilit\u00e9 CVE-2026-109619 :\n* initialiser \u003ccode\u003esession.upload_progress.enabled=0\u003c/code\u003e et red\u00e9marrer chaque processus d\u0027arri\u00e8re-plan (*worker*) ;\n* si PHP est en version 8.5.x, initialiser \u003ccode\u003efatal_error_backtraces=0\u003c/code\u003e et red\u00e9marrer chaque processus d\u0027arri\u00e8re-plan ;\n* supprimer les configurations incorrectes ou obsol\u00e8tes qui sont appliqu\u00e9es \u00e0 chaque requ\u00eate et qui g\u00e9n\u00e8rent des messages de diagnostic avant l\u0027initialisation ;\n* corriger les erreurs fatales et les d\u00e9lais d\u0027ex\u00e9cution d\u00e9pass\u00e9s accessibles aux attaquants.\n\n\n## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des correctifs (cf. section Documentation).",
  "cves": [
    {
      "name": "CVE-2026-109619",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-109619"
    },
    {
      "name": "CVE-2026-109618",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-109618"
    },
    {
      "name": "CVE-2026-115560",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-115560"
    }
  ],
  "initial_release_date": "2026-10-21T00:00:00",
  "last_revision_date": "2026-10-27T00:00:00",
  "links": [
    {
      "title": "Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026",
      "url": "/avis/CERTFR-2026-AVI-1359/"
    },
    {
      "title": "Fiche r\u00e9flexe : Compromission d\u0027un \u00e9quipement de bordure r\u00e9seau - Endiguement",
      "url": "https://cert.cyber.gouv.fr/fiche/CERTFR-2025-RFX-002/"
    },
    {
      "title": "D\u00e9p\u00f4t GitHub php2shell du NCSC-NL du 21 octobre 2026 ",
      "url": "https://github.com/NCSC-NL/php2shell"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 PHP GHSA-w8hw-w9fx-j79w",
      "url": "https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w"
    },
    {
      "title": "Communication du CERT-EU",
      "url": "https://cert.europa.eu/publications/security-advisories/2026-018/"
    },
    {
      "title": "[2] Bulletin de s\u00e9curit\u00e9 PHP GHSA-6wmf-4rv5-p3rp",
      "url": "https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp"
    },
    {
      "title": "[1] Fin de support des versions de PHP",
      "url": "https://www.php.net/eol.php"
    }
  ],
  "reference": "CERTFR-2026-ALE-014",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2026-10-21T00:00:00.000000"
    },
    {
      "description": "Mise \u00e0 jour des risques, des syst\u00e8mes affect\u00e9s et ajout des correctifs de s\u00e9curit\u00e9",
      "revision_date": "2026-10-21T00:00:00.000000"
    },
    {
      "description": "Connaissance de preuves de concept, pr\u00e9cision sur les contournements",
      "revision_date": "2026-10-22T00:00:00.000000"
    },
    {
      "description": "Ajout de la vuln\u00e9rabilit\u00e9 CVE-2026-115560 et du lien vers le d\u00e9p\u00f4t GitHub du NCSC-NL. ",
      "revision_date": "2026-10-26T00:00:00.000000"
    },
    {
      "description": "Pr\u00e9cisions sur les produits affect\u00e9s et rem\u00e9diations associ\u00e9es",
      "revision_date": "2026-10-27T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "\u003cspan class=\"important-content\"\u003e**[Mise \u00e0 jour du 26 octobre 2026]**\u003c/span\u003e\u003cbr/\u003e\nLe 23 octobre 2026, PHP a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant la vuln\u00e9rabilit\u00e9 CVE-2026-115560. Celle-ci permet une ex\u00e9cution de code arbitraire \u00e0 distance. L\u0027\u00e9diteur estime que les conditions d\u0027exploitation exigent une combinaison d\u0027options de configuration et de code applicatif peu probable. Un correctif sera donc publi\u00e9 \u00e0 l\u0027occasion du prochain cycle de mises \u00e0 jour.\n\nLe CERT-FR constate des tentatives d\u0027exploitation des vuln\u00e9rabilit\u00e9s CVE-2026-109618 et CVE-2026-109619 ciblant des d\u00e9ploiements sp\u00e9cifiques de PHP.\n\nDe plus, le CERT-FR incite \u00e0 la vigilance et rappelle que le langage PHP est utilis\u00e9 dans de nombreux produits, il est donc important d\u0027appliquer les correctifs d\u00e8s que ceux-ci seront disponibles. *En effet, de nombreux produits sont potentiellement impact\u00e9s par cette vuln\u00e9rabilit\u00e9. On trouvera une liste non exhaustive de cette derni\u00e8re fournie par le NCSC-NL (\u003ca href=\"https://github.com/NCSC-NL/php2shell/blob/main/software/changelog_software_list.md\"\u003ephp2shell/software/changelog_software_list.md at main \u00b7 NCSC-NL/php2shell \u00b7 GitHub\u003c/a\u003e)*\n\n\u003cspan\u003e**[Mise \u00e0 jour du 22 octobre 2026]**\u003c/span\u003e\u003cbr/\u003e\nLe CERT-FR a connaissance de preuves de concept pour les vuln\u00e9rabilit\u00e9s CVE-2026-109618 et CVE-2026-109619 pour des d\u00e9ploiements sp\u00e9cifiques de PHP.\n\n**[Mise \u00e0 jour du 21 octobre 2026]**\u003cbr/\u003e\nLes correctifs de s\u00e9curit\u00e9 sont disponibles sur le site de l\u0027\u00e9diteur. PHP indique que les vuln\u00e9rabilit\u00e9s CVE-2026-109618 et CVE-2026-109619 permettent \u00e0 un attaquant de provoquer une ex\u00e9cution de code arbitraire \u00e0 distance.\n\n**[Publication Initiale]**\u003cbr/\u003e\nLe 20 octobre 2026, PHP a publi\u00e9 une communication concernant deux vuln\u00e9rabilit\u00e9s critiques. L\u0027\u00e9diteur annonce la disponibilit\u00e9 des correctifs de s\u00e9curit\u00e9 pour le 21 octobre 2026 \u00e0 16h00 heure de Paris (14h00 UTC).\nL\u0027\u00e9diteur n\u0027assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x [1]. \n\nLe CERT-FR recommande d\u0027isoler les \u00e9quipements affect\u00e9s puis de proc\u00e9der \u00e0 la migration vers une version maintenue et avec les derniers correctifs de s\u00e9curit\u00e9 d\u00e8s publication du correctif \u00e9diteur.",
  "title": "[M\u00e0j] Multiples vuln\u00e9rabilit\u00e9s dans PHP",
  "vendor_advisories": [
    {
      "published_at": "2026-10-21",
      "title": "Bulletin de s\u00e9curit\u00e9 PHP",
      "url": "https://www.php.net/index.php#2026-10-21-2"
    },
    {
      "published_at": "2026-10-23",
      "title": "Bulletin de s\u00e9curit\u00e9 PHP CVE-2026-115560",
      "url": "https://www.php.net/archive/2026.php#2026-10-23-1"
    },
    {
      "published_at": "2026-10-21",
      "title": "Bulletin de s\u00e9curit\u00e9 PHP",
      "url": "https://www.php.net/index.php#2026-10-21-3"
    },
    {
      "published_at": "2026-10-21",
      "title": "Bulletin de s\u00e9curit\u00e9 PHP",
      "url": "https://www.php.net/index.php#2026-10-21-1"
    },
    {
      "published_at": "2026-10-21",
      "title": "Bulletin de s\u00e9curit\u00e9 PHP",
      "url": "https://www.php.net/index.php#2026-10-21-4"
    },
    {
      "published_at": "2026-10-20",
      "title": "Communication de PHP",
      "url": "https://www.php.net/archive/2026.php#2026-10-20-1"
    },
    {
      "published_at": "2026-10-21",
      "title": "Bulletin de s\u00e9curit\u00e9 PHP sur les contournements provisoires additionnels",
      "url": "https://www.php.net/archive/2026.php#2026-10-21-5"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.