23 octobre 2026 | Par l’équipe Veille & Sécurité
Thématique : Sécurité informatique, infrastructures serveur et maintenance logicielle
Face à la découverte de deux failles de sécurité majeures au cœur du moteur PHP permettant une prise de contrôle à distance sans authentification, l’application immédiate des correctifs et le redémarrage des services s’imposent pour l’ensemble des serveurs Bare Metal et VPS.
1. Contexte et constats de l’actualité
Le projet PHP a publié d’importants correctifs de sécurité pour traiter deux vulnérabilités critiques (score CVSS de 9,2 sur 10). Contrairement aux vulnérabilités habituelles qui ciblent les extensions ou les systèmes de gestion de contenu (CMS), ces failles affectent directement le cœur du langage PHP.
Elles exposent particulièrement les infrastructures gérées en autonomie (serveurs dédiés Bare Metal et serveurs virtuels VPS). Une exploitation réussie permet à un attaquant distant d’exécuter du code arbitraire avec les privilèges du serveur web, sans avoir besoin d’un compte utilisateur ou d’un mot de passe. Les environnements de production exploitant Apache (mod_php) et PHP-FPM sont directement concernés.
2. Analyse technique des vulnérabilités
Les deux failles résultent d’un dysfonctionnement dans la gestion de la mémoire de PHP entre le traitement de deux requêtes HTTP successives :
- CVE-2026-109618 : Une requête spécifique (ex. un envoi de formulaire lourd) provoque un épuisement de la mémoire et laisse le moteur dans un état incohérent.
- CVE-2026-109619 : Des données confidentielles issues d’une requête précédente restent conservées en mémoire au lieu d’être nettoyées, puis sont réutilisées par la requête suivante.
Toutes les versions antérieures à PHP 7.4 ainsi que les branches non mises à jour de PHP 8.x sont vulnérables. Les versions antérieures à 8.2 (y compris 7.4, 8.0 et 8.1) ne bénéficient plus de correctifs officiels directs et nécessitent une recompilation ou une migration programmée.
3. Plan d’action et recommandations pour la Direction du Numérique
Afin de sécuriser les environnements serveurs, les administrateurs système et les équipes informatiques doivent déployer un plan de mise en conformité en quatre étapes :
- Audit du parc et vérification de la version : Vérifier la version active en ligne de commande (
php -v) ainsi qu’au niveau des serveurs web ou panneaux de gestion (Plesk, cPanel). - Sauvegarde préalable : Réaliser un snapshot ou une sauvegarde des fichiers de configuration et des bases de données.
- Application des mises à jour : Mettre à jour les paquets via le gestionnaire de la distribution (
apt upgradeoudnf upgrade), recompiler les sources ou reconstruire les images Docker à jour. - Redémarrage obligatoire des services : Relancer impérativement les services PHP (
systemctl restart php-fpmouapache2) pour charger la nouvelle version en mémoire.
Mesures palliatives temporaires (en cas d’impossibilité de mise à jour immédiate)
- Désactiver la progression des téléversements :
session.upload_progress.enabled = 0dans le fichierphp.ini. - Sur PHP 8.5 uniquement : positionner
fatal_error_backtraces = 0. - Bloquer les requêtes de type
multipartau niveau du reverse-proxy si l’application ne gère pas de formulaires avec fichiers.
Tableau récapitulatif des versions et des actions requises
| Branche PHP | Statut de vulnérabilité | Version minimale corrigée | Action recommandée |
|---|---|---|---|
| PHP 8.5.x | Vulnerable | 8.5.12 | Mettre à jour via le gestionnaire de paquets |
| PHP 8.4.x | Vulnerable | 8.4.27 | Mettre à jour via le gestionnaire de paquets |
| PHP 8.3.x | Vulnerable | 8.3.36 | Mettre à jour via le gestionnaire de paquets |
| PHP 8.2.x | Vulnerable | 8.2.35 | Mettre à jour via le gestionnaire de paquets |
| PHP 7.4 à 8.1 | Fin de support officiel | Correctifs spécifiques / Recompilation | Appliquer les mesures palliatives et planifier la migration vers PHP 8.4+ |
Source de veille : Blog OVHcloud – Failles critiques PHP (CVE-2026-109618 et CVE-2026-109619)
Date : 21 octobre 2026
Thématique : Cybersécurité, administration système, vulnérabilités PHP et maintenance d’infrastructures
Mots-clés : php cve-2026-109618 cve-2026-109619 securite vps bare-metal patch
Souhaitez-vous que je génère un rapport téléchargeable au format PDF ou Word de cet article pour vos équipes techniques ?
Poster un Commentaire