Le correctif existe déjà

Le 21 octobre, le projet PHP a publié des versions corrigeant deux vulnérabilités critiques pouvant permettre une exécution de code à distance sans authentification : CVE-2026-109618 et CVE-2026-109619. L’avis officiel précise que les installations qui servent des requêtes web sont concernées ; le risque est particulièrement élevé pour mod_php, avec un scénario démontré avant l’exécution du code applicatif.

Les versions correctives publiées incluent PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour une distribution Linux ou un fournisseur LTS, vérifier le paquet et le statut du rétroportage auprès de son mainteneur : le numéro amont seul ne décrit pas toujours le correctif livré.

PHP 8.2 : préparer aussi l’après-décembre

La branche PHP 8.2 arrive en fin de support le 31 décembre 2026. La mise à jour d’octobre corrige les vulnérabilités annoncées ; elle ne prolonge pas la période de maintenance de la branche.

Il faut donc suivre deux travaux : appliquer le correctif disponible, puis planifier la migration vers une version encore maintenue. Le premier réduit un risque connu. Le second évite de rester sans correctifs de sécurité après la date de fin de support.

Ce que l’équipe peut vérifier

Lister les versions réellement actives dans les images, VM et environnements de build. Identifier le mode d’exécution — FPM, Apache, CGI ou autre — puis confirmer le paquet corrigé auprès de la source qui le distribue. Tester l’application sur la version cible et planifier son déploiement avant la fin de l’année.

Les mitigations temporaires décrites dans un avis peuvent ne couvrir qu’un chemin précis. Elles ne remplacent pas le correctif complet lorsqu’il est disponible.

Sources officielles

À lire aussi