L’équipe de sécurité de PHP s’apprête à publier des correctifs d’urgence pour deux vulnérabilités critiques le mercredi 21 octobre 2026 à 14h00 UTC, devançant son calendrier initial à la suite d’une fuite d’informations en ligne concernant ces failles de type exécution de code à distance.
La publication de correctifs de sécurité urgents pour le langage de programmation PHP a été avancée au mercredi 21 octobre 2026 à 14h00 UTC, soit 10h00 heure de l’Est et 19h30 IST, selon l’annonce officielle de l’équipe de sécurité de PHP publiée sur les serveurs du projet. Les administrateurs de sites web et de serveurs disposent d’un répit compté.
Cette décision fait suite à une fuite survenue la veille sur les réseaux sociaux et les forums, compromettant un embargo qui prévoyait initialement une diffusion le jeudi suivant à 11h00 ET.
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they're real. CVE-2926-109618/619We cannot share further information right now. Take this seriously and apply patches when available. pic.twitter.com/kguM8fpq13
L’équipe de PHP prépare des correctifs pour deux failles
L’alerte concerne deux vulnérabilités distinctes identifiées sous les références CVE-2026-109618 et CVE-2026-109619. L’équipe de développement a attribué à chacune de ces failles un score de gravité de 9,2 sur 10 selon le système CVSS v4.0. Dans son avis initial, l’organisation a exhorté l’ensemble des utilisateurs à se préparer dès à présent pour appliquer les mises à jour dès leur mise en ligne.
L’équipe de sécurité de PHP a encouragé tous les utilisateurs de PHP à se préparer dès maintenant afin de pouvoir effectuer la mise à niveau dès que la version sera disponible, selon l’avis officiel de publication.
L’équipe a prévenu : « Nous nous réservons le droit de publier plus tôt si les détails de l’une ou l’autre vulnérabilité venaient à être rendus publics, ou si des preuves d’une exploitation active apparaissaient dans la nature », concrétisant ainsi l’anticipation du correctif suite aux révélations prématurées.
La fuite des zéros-days et watchTowr
Le calendrier initial a basculé le 20 octobre 2026 à 15h20 UTC lorsqu’un utilisateur a publié un message sur le forum Hacker News, affirmant que deux failles d’exécution de code à distance (RCE) affectant toutes les versions de PHP depuis la version 5 devaient être divulguées le 22 octobre. Bien que ce message initial ait été supprimé, des captures d’écran ont rapidement circulé sur les plateformes X et Mastodon.
Okay, since the news is already out: an RCE vulnerability in PHP core, CVSS 10.0. Further details are scheduled for release on October 20. Only PHP 8 will receive patches. pic.twitter.com/rluF5EpjGq
La société de cybersécurité watchTowr a rapidement confirmé la véracité des informations divulguées par le biais de son directeur général, Benjamin Harris.
Benjamin Harris a indiqué, selon BleepingComputer, qu’au cours de la dernière heure, deux vulnérabilités d’exécution de code à distance dans PHP avaient fuité et qu’elles étaient initialement prévues sous embargo pour une publication le jeudi à 11 h 00 HE.
As it's already known, I will be releasing a lab on the CVE-2926-109618,9 PHP RCE upon embargo release. Until then, patch to the latest.
L’entreprise a ajouté qu’elle était parvenue à reproduire avec succès l’exploitation de la vulnérabilité CVE-2026-109618, tout en précisant qu’aucune exploitation active de ces failles n’avait été observée sur le terrain au moment de l’alerte.
Les versions ciblées par les correctifs
Selon les précisions apportées par l’agence Ascii, les correctifs s’adressent prioritairement aux quatre branches actuellement prises en charge officiellement, à savoir les versions 8.2, 8.3, 8.4 et 8.5. Les versions antérieures à la branche 8.1 ayant atteint leur fin de vie (end-of-life), elles ne recevront aucun support de sécurité officiel de la part des mainteneurs, laissant les serveurs plus anciens exposés à moins d’une mise à niveau complète.
Des divergences notables sont apparues entre l’évaluation officielle de l’équipe de PHP et les rapports de sécurité indépendants. Alors que les administrateurs de PHP évaluent les deux bogues à 9,2 sous le standard CVSS v4.0, les publications ayant fuité en ligne mentionnaient un score maximal de 10,0.
Les plateformes d’hébergement s’organisent
PHP sert de fondation à de nombreux systèmes de gestion de contenu, plateformes e-commerce et services personnalisés, incluant des environnements majeurs tels que WordPress, Drupal, Magento et des applications associées.
Du côté de Laravel News, les équipes indiquent collaborer directement avec la Fondation PHP pour intégrer les versions correctives dans leurs images de base dès leur mise à disposition, incitant les gestionnaires à planifier leurs déploiements pour parer à toute tentative d’exploitation dès l’ouverture de l’accès aux correctifs le mercredi 21 octobre 2026 à 14h00 UTC.
Sur le même sujet