PHP : deux failles RCE critiques corrigées
Original : Today's PHP security release, and how we're strengthening security
Pourquoi c'est important
PHP motorise une part massive du web ; des RCE non authentifiées à impact immédiat.
Le 21 octobre 2026, la PHP Foundation a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, corrigeant deux vulnérabilités RCE critiques permettant à un attaquant non authentifié d'exécuter du code sur des serveurs PHP.
Deux CVE majeures ont été corrigées simultanément. La première, CVE-2026-109618, exploite une corruption mémoire lors d'un dépassement de memory_limit : si une requête atteint cette limite au mauvais moment, PHP laisse des données partiellement initialisées qui peuvent être réutilisées, ouvrant la voie à une exécution de code à distance. Sur Apache avec mod_php, l'exploitation est possible sans aucun code applicatif. La seconde, CVE-2026-109619, repose sur un use-after-free : une erreur fatale survenant au mauvais instant peut laisser un pointeur vers la mémoire d'une requête précédente, réutilisable par la suivante. Une exploitation RCE a été confirmée sur une application réelle.
Ces failles touchent la gestion mémoire et le traitement des erreurs, deux composants traversés par presque toutes les requêtes PHP. La PHP Foundation reconnaît un échec structurel : le problème OOM avait été identifié dès 2024, lors du premier audit externe de PHP en plusieurs années, réalisé par Quarkslab via l'OSTIF et financé par la Sovereign Tech Agency. Plusieurs approches de correction ont été envisagées, chacune posant des problèmes de compatibilité ou de performance. Le manque de ressources et un processus de décision par consensus ont paralysé les équipes pendant des mois. La Foundation admet la situation sans détour et annonce des changements de processus au sein de l'équipe sécurité.