CVE-2026-109618
PHP
De quoi s’agit-il ?
PHP peut mal gérer la mémoire lorsqu’il manque de place pour stocker des données pendant le traitement d’une requête. Lors du nettoyage qui suit, il peut utiliser des zones de mémoire qui n’ont pas été correctement préparées.
Quels sont les risques ?
Un attaquant peut lancer son propre programme sur le serveur par le réseau, sans se connecter à un compte et sans intervention d’une autre personne. L’attaque est techniquement difficile et nécessite des conditions supplémentaires qui ne sont pas précisées.
Quel est le degré d’urgence ?
Cette vulnérabilité est déjà utilisée dans des attaques. Mettez PHP à jour rapidement, car cette faille peut permettre à un attaquant de lancer son propre programme sur le serveur.
Qui est concerné ?
Les versions concernées sont PHP 8.2.* avant 8.2.35, PHP 8.3.* avant 8.3.36, PHP 8.4.* avant 8.4.27 et PHP 8.5.* avant 8.5.12.
Que faire ?
Mettez à jour la branche PHP installée : 8.2.* vers 8.2.35, 8.3.* vers 8.3.36, 8.4.* vers 8.4.27 ou 8.5.* vers 8.5.12. Consultez l’avis de PHP Group pour les recommandations visant à réduire le risque.
Comment vérifier votre serveur
Relevez la version de PHP installée et comparez-la aux versions concernées et corrigées indiquées dans l’avis de PHP Group.
Détails techniques
- CVE
- CVE-2026-109618
- Publié le
- 21 octobre 2026
- CWE
- CWE-416
- CVSS
- 9.2
- CVSS vector
- CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 11,6 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
- Preuves d’attaque
- attaques observées; code d’exploitation public disponible; code d’exploitation public sur GitHub; Modèle Nuclei
CVSS mesure la gravité technique sur une échelle allant jusqu’à 10. Les conditions d’attaque et l’urgence sont expliquées ci-dessus.
EPSS estime la probabilité d’une tentative d’exploitation dans les 30 prochains jours, pas celle d’une compromission de votre serveur.