Deux failles critiques dans PHP, CVE-2026-109618 et CVE-2026-109619, sont désormais cataloguées par la CISA comme étant activement exploitées, ce qui impose une réaction immédiate aux administrateurs système. Ces vulnérabilités permettent une exécution de code à distance (RCE) sans nécessiter d’authentification préalable. Palo Alto Networks, par exemple, a relevé la présence de plus de 22,6 millions d’instances potentiellement exposées à ces problèmes.
Le cœur du problème réside dans la gestion des erreurs liées à la mémoire en PHP. Concernant CVE-2026-109618, le mécanisme de sortie d’erreur en cas de dépassement de mémoire (OOM) via longjmp() laisse la mémoire de la requête dans un état non initialisé. Cela permet, selon les analyses de GitHub, à un attaquant de déclencher cet état pour exécuter des commandes. Un mécanisme similaire, au sujet de CVE-2026-109619, est au rendez-vous : un état global de la mémoire peut pointer vers des régions récemment libérées, permettant à des requêtes ultérieures de lire ou d’utiliser cet état obsolète.
Ces failles, toutes deux notées au CVSS 9,2, ne sont pas de simples problèmes de déni de service ; elles ouvrent la porte à une prise de contrôle complète du serveur. Des acteurs malveillants ont déjà réussi à chaîner ces failles PHP2Shell avec des vulnérabilités d’escalade de privilèges du noyau Linux, permettant d’atteindre le statut root, comme l’a rapporté Dream Research.
Ce qui est touché et la gravité réelle
Ce qui est touché, ce sont les applications hébergées sur des serveurs utilisant PHP, et plus spécifiquement les interfaces de gestion exposées à l’extérieur. Bien que les bonnes pratiques dictent de ne pas exposer ces interfaces à l’Internet, le fait qu’elles puissent l’être rend la portée globale. Palo Alto Networks indique que, même si seule une infime fraction de leur base installée dispose d’interfaces de gestion accessibles publiquement, c’est dans ces cas précis que le risque est maximal.
Le constat de la CISA est sans appel : le statut « exploitée activement » signifie que les outils d’attaque circulent déjà. On doit considérer que toute installation vulnérable est, en ce moment, un risque actif. Les failles sont validées sur des configurations standards, ce qui signifie que la porte est ouverte dès que la configuration de sécurité de base est contournée.
Que faire maintenant
L’unique mitigation complète, selon le rapport de GitHub, est de mettre à jour immédiatement vers une version de PHP qui contient le correctif. C’est une instruction claire, mais la mise à jour n’est pas toujours possible dans un environnement contraint. Dans ce cas extrême, une suggestion est de régler administrativement la limite de mémoire (memory_limit=-1) pour supprimer les limites prévisibles qui facilitent le déclenchement contrôlé de l’OOM, bien que ce ne soit qu’un pansement. De plus, il est conseillé d’appliquer des contrôles en amont : limiter la taille des requêtes multipart, réduire la profondeur d’imbrication des champs, et bloquer ces requêtes au niveau de la couche frontale avant qu’elles n’atteignent PHP.
Il est impératif de retirer tout accès Internet public aux interfaces de gestion. Si votre organisation utilise des solutions de sécurité comme Cortex XDR, les équipes de chasse aux menaces proposent des requêtes XQL pour surveiller les signes d’exploitation en cours.
Les agences fédérales américaines ont une échéance fixée au 29 octobre 2026 pour appliquer les mesures requises. Il faudra surveiller attentivement les prochaines annonces concernant les versions corrigées spécifiques à chaque SAPI, car la susceptibilité varie selon l’environnement d’exécution.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-109618 | PHP Group PHP | Critique (CVSS 9,2) | Oui (KEV, 26 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-109619 | PHP Group PHP | Critique (CVSS 9,2) | Oui (KEV, 26 octobre 2026) | Voir l’avis de l’éditeur |
Données : NVD (NIST) et catalogue KEV de la CISA (CC0).
Sources
- Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 29), Unit 42, 29 octobre 2026
- Avis de sécurité (github.com), github.com, 21 octobre 2026
- CVE-2026-109618, NVD (NIST)
- CVE-2026-109618 dans le catalogue KEV, CISA
- CVE-2026-109619, NVD (NIST)
- CVE-2026-109619 dans le catalogue KEV, CISA