Suivi KEV › PHP Group

CVE-2024-4577 PHP, vulnérabilité d'injection de commandes système

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 12 juin 2024.

  • Produit : PHP Group PHP
  • Ajoutée au catalogue : 12 juin 2024
  • Échéance CISA : 3 juillet 2024
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : PHP

PHP, spécifiquement PHP basé sur Windows utilisé en mode CGI, contient une vulnérabilité d'injection de commandes système qui permet une exécution de code arbitraire. Cette vulnérabilité est un contournement de correctif pour CVE-2012-1823.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • php : versions ≥ 8.1.0 et < 8.1.29
  • php : versions ≥ 8.2.0 et < 8.2.20
  • php : versions ≥ 8.3.0 et < 8.3.8
  • fedora : 2 versions, de 39 à 40

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection de commandes système (CWE-78) : Le produit construit tout ou partie d'une commande système en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande système prévue avant qu'elle ne soit envoyée à un composant aval.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

PHP-CGI OS Command Injection Vulnerability

PHP, specifically Windows-based PHP used in CGI mode, contains an OS command injection vulnerability that allows for arbitrary code execution. This vulnerability is a patch bypass for CVE-2012-1823.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de PHP Group PHP

  • CVE-2026-109619 — PHP : vulnérabilité d'état de requête interne obsolète (26 octobre 2026)
  • CVE-2026-109618 — PHP : vulnérabilité de corruption de mémoire (26 octobre 2026)

← Toutes les failles PHP Group · Suivi KEV