CVE-2026-109619
PHP
De quoi s’agit-il ?
PHP peut continuer à utiliser une zone de mémoire après sa libération. Lors du traitement de requêtes suivantes, ces anciennes données peuvent permettre à un attaquant de lancer son propre programme sur le serveur.
Quels sont les risques ?
Un attaquant peut lancer son propre programme sur le serveur par le réseau, sans se connecter à un compte ni faire intervenir un utilisateur. L’exploitation est complexe et exige des conditions particulières, dont le détail n’est pas précisé.
Quel est le degré d’urgence ?
Cette vulnérabilité est déjà utilisée dans des attaques. Mettez PHP à jour rapidement, car cette faille permet à un attaquant de lancer son propre programme sur le serveur.
Qui est concerné ?
Les versions de PHP concernées sont les versions 8.2.* antérieures à 8.2.35, 8.3.* antérieures à 8.3.36, 8.4.* antérieures à 8.4.27 et 8.5.* antérieures à 8.5.12.
Que faire ?
Mettez PHP à jour vers la version corrigée de votre branche : 8.2.35 pour 8.2.*, 8.3.36 pour 8.3.*, 8.4.27 pour 8.4.* ou 8.5.12 pour 8.5.*.
Comment vérifier votre serveur
Consultez la version de PHP installée dans les informations sur les logiciels du serveur, puis comparez-la aux versions concernées et corrigées indiquées dans l’avis de PHP Group.
Détails techniques
- CVE
- CVE-2026-109619
- Publié le
- 21 octobre 2026
- CWE
- CWE-416
- CVSS
- 9.2
- CVSS vector
- CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 6,0 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
- Preuves d’attaque
- attaques observées; code d’exploitation public sur GitHub; Modèle Nuclei
CVSS mesure la gravité technique sur une échelle allant jusqu’à 10. Les conditions d’attaque et l’urgence sont expliquées ci-dessus.
EPSS estime la probabilité d’une tentative d’exploitation dans les 30 prochains jours, pas celle d’une compromission de votre serveur.