← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités PHP activement exploitées (KEV)

Les 3 vulnérabilités PHP dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2016-10033 — PHPMailer : vulnérabilité d'injection de commandes Critique

  • Produit : PHP PHPMailer
  • Ajoutée au catalogue : 7 juillet 2025
  • Échéance CISA : 28 juillet 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-77, CWE-88
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %
  • Technologie : PHP

PHPMailer contient une vulnérabilité d'injection de commandes car il ne parvient pas à assainir les entrées fournies par l'utilisateur. Spécifiquement, ce problème affecte la fonction 'mail()' du script 'class.phpmailer.php'. Un attaquant peut exploiter ce problème pour exécuter du code arbitraire dans le contexte de l'application. Les tentatives d'exploitation échouées entraîneront une condition de déni de service.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2019-11043 — PHP FastCGI Process Manager (FPM) : dépassement de tampon Critique

  • Produit : PHP FastCGI Process Manager (FPM)
  • Ajoutée au catalogue : 25 mars 2022
  • Échéance CISA : 15 avril 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-120
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %
  • Technologie : PHP

Dans certaines versions de PHP avec certaines configurations de configuration FPM, il est possible de faire en sorte que le module FPM écrive au-delà des tampons alloués, permettant la possibilité d'exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2012-1823 — PHP : vulnérabilité du paramètre de chaîne de requête

  • Produit : PHP PHP
  • Ajoutée au catalogue : 25 mars 2022
  • Échéance CISA : 15 avril 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-20
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : PHP

Sapi/cgi/cgi_main.c dans PHP, lorsqu'il est configuré comme script CGI, ne gère pas correctement les chaînes de requête, ce qui permet à des attaquants distants d'exécuter du code arbitraire.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)