@thephpf
L’équipe de sécurité de PHP donne un préavis : une mise à jour de sécurité est prévue le mercredi 21 octobre 2026 à 14 h UTC. Deux vulnérabilités critiques, toutes deux notées 9,2 selon CVSSv4. Les utilisateurs de PHP sont invités à se préparer à la mise à jour. La publication sera avancée si les détails sont rendus publics ou si des preuves d’exploitation active apparaissent.
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
Voir la publication@nsacyber
À compter de maintenant, toutes les organisations utilisant PHP dans leurs systèmes sont invitées à se tenir prêtes à installer une mise à jour corrigeant deux vulnérabilités critiques. PHP est largement utilisé pour les applications Web. Ces vulnérabilités ouvrent souvent un accès direct au système de fichiers ou à la base de données du serveur. Si une intervention immédiate...
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or database. If an immediate...
Voir la publication@watchtowrcyber
Nous étions tous censés attendre jeudi à 11 h, heure de l’Est. Des informations ont fuité concernant des failles RCE zero-day sous embargo dans PHP. Nous pouvons confirmer qu’elles sont réelles. CVE-2926-109618/619 Nous ne pouvons pas partager davantage d’informations pour le moment. Prenez la situation au sérieux et appliquez les correctifs dès qu’ils seront disponibles.
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they're real. CVE-2926-109618/619 We cannot share further information right now. Take this seriously and apply patches when available.
Voir la publication@fbicyberdiv
Deux vulnérabilités critiques ont été identifiées dans PHP, un langage de programmation largement utilisé qui fait fonctionner des sites Web et des applications Web. Ces vulnérabilités (CVE-2026-109618 et CVE-2026-109619) pourraient permettre à des acteurs malveillants d’exécuter du code à distance dans le cœur de PHP, et potentiellement de compromettre des données sensi...
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensi...
Voir la publication@j4ck3lsyn
J’ai réussi à reproduire et à tester en laboratoire et sur le terrain CVE-2026-109618 / CVE-2026-109619 > Deux primitives heap use-after-free dans le gestionnaire « session.upload_progress » de PHP (« php_session_rfc1867_callback », ext/session/session.c)... #CyberSecurity #infosec #php #C4b1NKr3W #php2shell
I have successfully recreated & lab/field tested CVE-2026-109618 / CVE-2026-109619 > Two heap use-after-free primitives in PHP's ‘session.upload_progress’ handler ('php_session_rfc1867_callback', ext/session/session.c)... #CyberSecurity #infosec #php #C4b1NKr3W #php2shell
Voir la publicationKirill Firsov / @k_firsov
php2shell Demain, ça va être une sacrée journée.
php2shell Tomorrow is a helluva day.
Voir la publication@calif_io
Rétablissons les faits : @lcfr_hax a été le premier à découvrir php2shell et à développer un exploit fonctionnel. Voir son tweet du 5 août : https://x.com/... Son travail a convaincu la PHP Foundation d’investir dans la correction de toute cette catégorie de bugs. Il a ensuite travaillé sans relâche pour examiner, tester et retester...
Let's set the record straight: @lcfr_hax was the first to discover php2shell and develop a working exploit. See his August 5 tweet: https://x.com/... His work convinced the PHP Foundation to invest in fixing this entire bug class. He then worked around the clock to review, test, and retest t...
Voir la publication@obsproject
Certaines parties de notre site Web seront indisponibles pendant que nous attendons la divulgation d’une vulnérabilité PHP. Cela ne devrait pas affecter le streaming via les comptes connectés.
Parts of our website will be unavailable while we await disclosure of a PHP vulnerability. This should not impact streaming via connected accounts.
Voir la publicationFlorian Roth / @cyb3rops
Depuis que j’ai entendu parler de cette #PHP #RCE la semaine dernière, je prépare un outil pour tous ceux qui ne savent pas quoi faire maintenant : process-watcher affiche tous les programmes lancés par vos processus PHP, avec leurs lignes de commande complètes, pour repérer toute activité suspecte. En attendant la publication d’un correctif, l’isolation (conteneurs)...
Since I heard about this #PHP #RCE last week, I've been preparing a tool for everyone who doesn't know what to do right now: process-watcher shows you every program your PHP processes start, with full command lines, so you can spot suspicious activity Until a patch is out, isolation (containers)...
Voir la publicationFlorian Roth / @cyb3rops
Ce qui m’inquiète au sujet de la prochaine divulgation d’une RCE dans PHP, c’est le nombre de systèmes qui pourraient rester exposés longtemps après la mise à disposition des correctifs. Environ un tiers des sites Web PHP utilisent encore PHP 5 ou 7. Certains opérateurs devront migrer leurs anciennes applications avant de passer à une version prise en charge. Même sur les versions prises en charge...
My concern with the upcoming PHP RCE disclosure is how many systems could remain exposed long after patches become available. Roughly a third of PHP websites still run PHP 5 or 7. Some operators will need to migrate old applications before they can move to a supported release. Even on supported ve...
Voir la publicationDane Knecht / @dok2001
Les changements de PHP sont en ligne. Commencez à appliquer les correctifs. https://www.php.net/... Un immense merci à toutes les personnes qui ont travaillé de concert, notamment @ThePHPF ! [publication citée]
PHP changes are live. Start patching. https://www.php.net/... Huge thanks to coordinated work by @ThePHPF! [embedded post]
Voir la publication@alvosec
⚠️ La RCE dans PHP est exploitée dans la nature, ça va être moche. Solution rapide : session.upload_progress.enabled = Off https://www.php.net/...
⚠️ RCE in PHP is in the wild, it's going to be ugly. Quick fix: session.upload_progress.enabled = Off https://www.php.net/...
Voir la publicationAJ Stuyvenberg / @astuyve
Encore une RCE (en une heure), cette fois dans PHP. CVSS 10, au passage.
Another (hour) another RCE, this time in PHP CVSS 10 btw
Voir la publicationMatt Johansen / @mattjay
PHP et les autorités de certification SSL qui tombent en panne la même semaine... C’est comme découvrir que tout le ciment va céder cette semaine sans mesures correctives.
PHP and SSL CA's being broken in the same week... It's like finding out all cement would fail this week without remediation.
Voir la publication@r0ckstardev
Si vous gérez un site Web en PHP, une vulnérabilité critique a été divulguée avant les mises à jour annoncées pour demain. Si vous ne pouvez pas fermer votre site et attendre la mise à jour de PHP, donnez ce prompt à votre IA : URGENT : mise à jour de sécurité critique de PHP le 2026-10-21 à 14:00 UTC. Contexte : la sécurité de PHP...
If you're running a PHP website - a critical vulnerability was disclosed before the announced updates tomorrow. If you can't shut down your website and wait for the PHP update, feed your AI this prompt: URGENT: critical PHP security release on 2026-10-21 at 14:00 UTC. Background - The PHP securi...
Voir la publicationBrayden / @braydenwilmoth
Protection en un clic contre la vulnérabilité php2shell : si Cloudflare se trouve devant votre site PHP, connectez-vous au tableau de bord et cliquez sur ce bouton pour vous assurer d’être protégé. https://dash.cloudflare.com/ ... Cela réduit les risques, mais ne corrige pas les vulnérabilités de PHP. Nous recommandons de mettre à jour…
One-click mitigation for php2shell vulnerability: If you have Cloudflare in front of your PHP website, please login to the dashboard and click this button to make sure you are protected. https://dash.cloudflare.com/ ... This reduces your risk but doesn't fix the vulnerabilities in PHP. We recommend updat...
Voir la publicationKostas / @kostastsale
Un abruti a publié un POC trop tôt pour php2shell, alors voici ce qu’il faut faire : si vous utilisez une version antérieure à la 8.2 : modifiez php.ini : session.upload_progress.enabled = Off Puis rechargez php-fpm et redémarrez apache. Si vous utilisez une version ultérieure : mettez à jour (la mise à jour sera disponible dans quelques heures). Dans tous les cas, le mi…
A moron has released a POC early for php2shell so here is what you need to do: If you're on version prior to 8.2: Edit php.ini: session.upload_progress.enabled = Off Then reload php-fpm and restart apache If you're on later version: Update (it'll be available in a few hours) In any case, the mi...
Voir la publicationAJ Stuyvenberg / @astuyve
Les correctifs sont en ligne, tout le monde. Bonne chance et bon courage https://www.php.net/... [publication citée]
Patches are live everyone. good luck and godspeed https://www.php.net/... [embedded post]
Voir la publicationDaniele Berardinelli / @rina4_tot
Plus de détails sur CVE-2026-109618 et CVE-2026-109619, la RCE de PHP. La progression du téléversement peut sérialiser avant que RINT de base efface BG(serialize). Il n’existe actuellement aucune mesure d’atténuation possible. Regardez la capture d’écran ci-dessous pour comprendre comment j’ai obtenu le UAF 😼
More details about CVE-2026-109618 and CVE-2026-109619, the PHP RCE. Upload progress can serialize before basic RINT clears BG(serialize) There is currently no possible mitigation. See the screenshot below to understand how I got the UAF 😼
Voir la publicationJohn Hammond / @_johnhammond
Foutu correctif https://www.php.net/... https://github.com/... https://github.com/... [image]
phucking patch https://www.php.net/... https://github.com/... https://github.com/... [image]
Voir la publication@hawolt
Demain, ça va être une journée sympa sur Internet [publication citée]
tomorrow will be a fun day on the internet [embedded post]
Voir la publicationIsao Shimizu / @isaoshimizu
« PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux vulnérabilités critiques pouvant permettre une exécution de code à distance sans authentification. Tous les utilisateurs de PHP sont vivement invités à mettre à jour immédiatement. » https://www.php.net/...
“PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.” https://www.php.net/...
Voir la publication@ncsc
Le NCSC encourage les organisations britanniques à se préparer à mettre immédiatement à jour les systèmes utilisant PHP. Si une correction immédiate n’est pas réalisable, les organisations devraient envisager de mettre le système hors ligne jusqu’à ce qu’il soit entièrement protégé. Plus d’infos⬇️ https://www.ncsc.gov.uk/...
The NCSC is encouraging UK organisations to prepare for immediate updating of systems using PHP. Where immediate remediation is not feasible, organisations should consider taking the system offline until it can be fully mitigated. For more⬇️ https://www.ncsc.gov.uk/...
Voir la publicationTamara Martinović / @codewithtamara
Sale journée pour WordPress. Si vous gérez un site WordPress, renseignez-vous auprès de votre hébergeur au sujet de la mise à jour de sécurité de PHP.
Sad day for WordPress. If you run a WordPress site, check with your host about the PHP security update.
Voir la publicationPaulos Yibelo / @paulosyibelo
il existe un risque réel qu’un seul serveur PHP soit exploité pour infiltrer quelque part un OS invité, puis que CVE-2026-99999 soit exploité depuis là pour compromettre l’OS hôte, ce qui donnerait accès à tous les autres serveurs invités. Donc, même si vous n’utilisez pas php, si un client quelconque de votre hébergeur en utilise,
there's a real risk that a single PHP server will be exploited to infiltrate a guest OS somewhere, & from there, CVE-2026-99999 could be exploited to breach the host OS, leading to all other guest servers. So even if you don't run php, if some random customer of your host does,
Voir la publicationMatt Johansen / @mattjay
Ça va être un carnage si Andrew recommande aux gens de mettre hors ligne tous les systèmes PHP jusqu’à la sortie du correctif.
This is gonna be a bloodbath if Andrew is warning people to go ahead and take any PHP offline until patch drops.
Voir la publication@watchtowrcyber
Petite mise à jour : nous avons maintenant déployé des capacités d’atténuation au niveau du réseau pour les clients de watchTowr Platform (via Active Defense), avant que PHP ne fournisse les correctifs. https://watchtowr.com/ pour en savoir plus. [publication citée]
Small update: we've now pushed network-level mitigation capabilities to watchTowr Platform clients (via Active Defense), ahead of PHP providing patches. https://watchtowr.com/ for more information. [embedded post]
Voir la publicationAndras Bacsai / @heyandras
Voici la liste complète des mesures à prendre MAINTENANT contre PHP2Shell (CVE-2026-109618 / CVE-2026-109619), à titre de protection temporaire. (générée et validée par un LLM) 1️⃣ À faire en premier. Dans php.ini ou le pool FPM, définissez : session.upload_progress.enabled = 0 Rechargez PHP-FPM, puis mettez PHP à jour dès la publication du correctif…
Here is a full list of what you can do NOW for PHP2Shell (CVE-2026-109618 / CVE-2026-109619) as a temporary mitigation. (generated and validated by LLM) 1️⃣ Do this first. In php.ini or the FPM pool, set: session.upload_progress.enabled = 0 Reload PHP-FPM, then update PHP right after the release...
Voir la publication@44latte
TU POUVAIS PAS ATTENDRE PUTAIN 14 heures. J’espère que tu seras définitivement blacklisté dans la cybersécurité et les secteurs connexes pour avoir publié sur Twitter une vulnérabilité critique de type zero-day non corrigée, espèce d’abruti
You COULDNT HAVE FUCKING WAITED 14 Hours. i hope your forever blacklisted from cybersec/related industries for dropping a unpatched critical 1day on twitter you fucking idiot
Voir la publicationMark E. Jeftovic / @jeftovic
Si vous travaillez dans le dev/ops, faites un câlin à votre famille et passez une bonne nuit. Demain, ça va être l’enfer. [publication citée]
If you're in dev/ops - hug your family and get a good nights sleep. Tomorrow is gonna suck. [embedded post]
Voir la publication@anilistco
Compte tenu de l’importante vulnérabilité de sécurité PHP imminente (https://x.com/...), nous allons mettre le site et l’API hors ligne jusqu’à ce que nous puissions confirmer qu’un correctif a été appliqué de notre côté. Désolés pour ce préavis tardif. Nous ne savons pas quand les services seront de nouveau disponibles, mais espérons que ce sera dans la journée. [publication citée]
In light of the incoming major PHP security vulnerability (https://x.com/...), we will be taking the site and API down until we can confirm a fix on our side. Apologies for the short notice. There is no ETA to when we will be back up, though hopefully within the day. [embedded post]
Voir la publication@sagitz_
L’impact est énorme. PHP fait fonctionner environ 70 % du Web. Le nombre d’instances vulnérables est astronomique. Tous les sites PHP des 10 dernières années sont vulnérables. Appliquez le correctif maintenant !
The impact is massive. PHP powers about 70% of the web. The number of vulnerable instances is astronomical. Any PHP website for the last 10 years is vulnerable to this. Patch now!
Voir la publicationArvid Kahl / @arvidkahl
Encore une preuve que nos 5 $ par mois sont extrêmement bien dépensés. [publication citée]
Another reminder of why our $5/month is extremely well spent. [embedded post]
Voir la publicationArvid Kahl / @arvidkahl
Tous les développeurs PHP qui ont réservé un vol (ou une réunion) demain à 10 h : 😰😰😰
Every PHP dev who booked a flight (or a meeting) for 10:00am tomorrow: 😰😰😰
Voir la publication@sherrod_im
C’est critique. Veuillez suivre les recommandations de PHP et de notre équipe chez Unit 42 Palo Alto Networks. Défenseurs, il est temps de défendre. https://unit42.paloaltonetworks.com/ ...
This is critical. Please follow guidance from PHP and us at Unit 42 Palo Alto Networks. Defenders, time to defend. https://unit42.paloaltonetworks.com/ ...
Voir la publicationTaylor Otwell / @taylorotwell
Des vulnérabilités critiques de PHP seront divulguées demain : https://www.php.net/.... Nous travaillons directement avec la PHP Foundation pour intégrer au plus vite les versions corrigées de PHP à nos images de base pour Laravel Cloud, Forge et Vapor. Vous devrez peut-être redéployer vos applications à ce moment-là pour utiliser ces versions corrigées,…
Critical PHP vulnerabilities to be disclosed tomorrow: https://www.php.net/.... We're working directly with the PHP Foundation to get patched PHP versions into our base images for Laravel Cloud, Forge, and Vapor ASAP. You may need to redeploy your apps at that time to use these patched versions,...
Voir la publicationChristopher Stanley / @cstanley
Merci Dane, Cloudflare a toujours été un formidable bouclier pour le public. On vous en est tellement reconnaissants. [image] [publication citée]
Thanks Dane, Cloudflare has always been a huge shield for the public. Appreciate you all so much. [image] [embedded post]
Voir la publicationMarcel Pociot / @marcelpociot
🚨 Si vous utilisez PHP, préparez-vous à mettre à jour votre version de PHP (8.0+) demain à 14 h UTC, à l’occasion d’une mise à jour de sécurité critique de PHP ! https://www.php.net/...
🚨 If you use PHP, get ready to update your PHP version (8.0+) tomorrow at 14:00 UTC for a critical PHP security release! https://www.php.net/...
Voir la publicationMark Karpelès / @magicaltux
Plusieurs personnes ont publié sur X qu’elles confirmaient la découverte des exploits, en donnant des niveaux de détail variés. Je considérerais que la menace est maintenant active. https://x.com/...
Multiple people have been posting on X on their confirming the discovery of the exploits and posting varying amounts of details. I would consider this in the wild now. https://x.com/...
Voir la publicationWes / @wescopeland_
Info pratique : définissez session.upload_progress.enabled = 0 et retournez vous coucher
PSA: set session.upload_progress.enabled = 0 and go back to bed
Voir la publicationMark Karpelès / @magicaltux
Bon, à propos de cette nouvelle RCE dans PHP : s’il m’a fallu environ 10 minutes pour la trouver, vous vous doutez qu’elle est déjà entre de mauvaises mains.
So yea about that new RCE in PHP, if it took me ~10min to find, you know it's already into some bad hands.
Voir la publicationJeff Geerling / @geerlingguy
C'est peut-être le build GitHub Actions le plus suivi de l'histoire de la plateforme : https://github.com/...
This might be the most watched GitHub Actions build in the history of the platform: https://github.com/...
Voir la publication@lowleveltweets
Hé mec. Si tu utilises PHP, désactive-le.
hey man. if you run php. turn it off.
Voir la publication@kiwifarmsdotnet
Nous revoilà ! Pensez à mettre PHP à jour si votre site web l'utilise !
We're back! Remember to update PHP if you run a website on it!
Voir la publication@sporadica
Attends, mais qu’est-ce qui se passe, qu’est-ce que j’ai raté ? PHP n’est pas utilisé absolument partout ? Internet est foutu ? [publication citée]
wait what in the hell did i miss isn't PHP used legit everywhere is the Internet f*cked? [embedded post]
Voir la publication@mattiasgeniar
RIP à tous les WordPress qui tournent sous PHP 7.x ? 😬 https://www.php.net/...
RIP all WordPresses running on PHP 7.x versions? 😬 https://www.php.net/...
Voir la publication@wordpress
Le projet PHP a publié des correctifs pour deux vulnérabilités critiques qui touchent les serveurs hébergeant des applications PHP. Les propriétaires de sites et les équipes techniques devraient vérifier le calendrier de mise à jour de leur hébergeur et mettre PHP à jour immédiatement. Les versions antérieures à PHP 8.2 ne reçoivent plus de mises à jour de sécurité. Ces problèmes ar...
The PHP project has released fixes for 2 critical vulnerabilities affecting servers that host PHP applications. Site owners and technical teams should confirm their hosting provider's update plan and update PHP immediately. Versions before PHP 8.2 no longer receive security updates. These issues ar...
Voir la publication@iinovacore
Encore [image] [publication citée]
again [image] [embedded post]
Voir la publicationUdi Wertheimer / @udiwertheimer
Les intellectuels de la crypto sèment la panique en disant que toute la cryptographie à clé publique pourrait un jour être cassée, tandis que tout Internet se fait pirater à cause de vulnérabilités dans PHP [publication citée]
crypto intellectuals sow panic about how all public key cryptography might be broken one day meanwhile the entire internet gets pwned by vulnerabilities in php [embedded post]
Voir la publication@h4x0r_dz
Si ça touche l'installation par défaut de PHP, on est foutus CVE-2026-109618 CVE-2026-109619 RCE dans PHP avec un score CVSS de 10,0 ☠️ https://news.ycombinator.com/ ...
if this affects the default installation of PHP We are fucked up CVE-2026-109618 CVE-2026-109619 PHP RCEs with a CVSS score of 10.0 ☠️ https://news.ycombinator.com/ ...
Voir la publicationJon Oberheide / @jonoberheide
Il faut mettre à jour ses dépendances à toute vitesse parce qu'elles sont pleines de vulnérabilités (PHP, Node, eMudhra, etc.), mais pas _trop_ vite non plus parce qu'elles sont pleines de portes dérobées (LiteLLM). Bonne chance !
You've gotta patch your dependencies super fast because they're full of vulns (PHP, Node, eMudhra, etc), but not _too_ fast because they're full of backdoors (LiteLLM). Good luck!
Voir la publicationAusten Allred / @austen
Un piratage à la racine de toutes les versions de PHP, c'est brutal. Le site que quelqu'un a mis en ligne il y a 15 ans chez un hébergeur à bas prix, et dont plus personne ne sait comment se connecter, est maintenant directement ciblé.
A hack at the root of all PHP versions is brutal. The website someone put up 15 years ago on a cheap host that no one remembers how to log into is now the direct target.
Voir la publication@sagitz_
Aujourd'hui, nous révélons PHP2Shell — corruption de mémoire exploitable à distance dans PHP WordPress : RCE sans authentification préalable ✅ Drupal : RCE sans authentification préalable ✅ Joomla : RCE sans authentification préalable ✅ Divulgation à distance de la mémoire de n'importe quelle application PHP ✅ Pour en savoir plus ⬇️🧵
Today we disclose PHP2Shell - remotely exploitable memory corruptions in PHP WordPress pre-auth RCE: ✅ Drupal pre-auth RCE: ✅ Joomla pre-auth RCE: ✅ Remote memory disclosure of any PHP application: ✅ Read more ⬇️🧵
Voir la publicationJeff Geerling / @geerlingguy
Les avis de sécurité PHP sont publiés : RCE via corruption OOM (9,2/10) : https://github.com/... RCE via état global périmé (9,2/10) : https://github.com/... Il faut passer dès que possible à la version 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 pour corriger le problème. Les mises à jour sont en cours de déploiement. #PHP
PHP Security Advisories are out: RCE via OOM corruption (9.2/10): https://github.com/... RCE via stale global state (9.2/10): https://github.com/... Need to upgrade to 8.2.35, 8.3.36, 8.4.27, or 8.5.12 ASAP to mitigate. Updates rolling out now. #PHP
Voir la publication@intcyberdigest
Le jour où Internet a cessé de fonctionner, et où la plupart de ses composants sont trop vieux pour être réparés.
The day the internet broke, and most of it is too old to fix.
Voir la publication@icesolst
Déclaré à l'abri du phpocalypse parce que tu utilises PHP 5.1 depuis 2005 et qu'il n'est pas concerné (?) (il y a probablement un pourcentage à deux chiffres d'entreprises comme ça)
Marked safe from phpocalypse because you've been running php 5.1 since 2005 and it's not affected (?) (there is prob a two digit percentage of companies like this)
Voir la publication@esotericpigeon
Contenu pour adultes soumis à une restriction d'âge. Ce contenu peut ne pas convenir aux personnes de moins de 18 ans. Pour voir ce média, vous devez vous connecter à X. En savoir plus
Age-restricted adult content. This content might not be appropriate for people under 18 years old. To view this media, you'll need to log in to X. Learn more
Voir la publicationSimon / @soeckly
Ce gamin publie de la bouillie générée par l'IA et tout le monde tombe dans le panneau
This kid posts AI slop and everyone is falling for it
Voir la publication@blackroomsec
Je republie ça depuis mon propre commentaire pour que vous le voyiez tous. À propos du correctif PHP d'aujourd'hui. …
Reposting this from my own comment so you all see it. Re: PHP patch today. …
Voir la publicationJuraj Bednar / @jurbed
Info : désactivez PHP immédiatement. Les mesures d'atténuation que vous trouverez sur Internet ne suffisent pas. Seule une version corrigée résout les bugs. Des exploits sont déjà utilisés. Surveillez https://php.net/ et les canaux de mise à jour de votre distribution, et ne réactivez PHP qu'après avoir installé la version corrigée. Ce n'est pas un exercice.
PSA: turn off PHP now. Mitigations you find on the internet are not enough. Only patched release fixes the bugs. Exploits already in the wild. Watch https://php.net/ and your distribution update channels and only enable PHP after you install patched release. This is not a drill.
Voir la publication@intcyberdigest
‼️ DERNIÈRE HEURE : watchTowr confirme que les deux failles d'exécution de code à distance divulguées dans PHP sont réelles. PHP publiera mercredi 21 octobre à 14 h UTC des correctifs pour deux failles critiques, toutes deux notées 9,2 sur l'échelle CVSS, un jour avant la levée prévue de l'embargo. CVE-2026-109618 et CVE-2026-109619 sont apparues pour la première fois dans un Hacker...
‼️ BREAKING: Two leaked remote code execution flaws in PHP are real, watchTowr confirms. PHP will ship fixes for two critical flaws, both rated CVSS 9.2, on Wednesday 21 October at 14:00 UTC, a day before the embargo was due to lift. CVE-2026-109618 and CVE-2026-109619 first surfaced in a Hacker...
Voir la publication@laravel
À 14 h UTC, deux vulnérabilités critiques seront corrigées dans PHP. Ces vulnérabilités extrêmement graves touchent toutes les applications PHP sur le Web. Clients de Laravel Cloud : nous commencerons à appliquer automatiquement les correctifs à vos applications dès leur publication. Aucune action manuelle n'est...
At 14:00 UTC two critical security vulnerabilities will be patched in PHP. These are extremely serious vulnerabilities affecting every PHP application on the web. Laravel Cloud customers: we will begin automatically patching your applications as soon as the patch is released. No manual action is...
Voir la publicationAndrew Dorman / @acd421
L'union fait la force. L'équipe et moi @J4ck3LSyN @Archknight23 🚨 Avis à tous ceux qui utilisent PHP : deux bugs critiques d'exécution de code à distance, correctif demain. Le projet PHP a confirmé la publication d'urgence de correctifs pour deux vulnérabilités critiques d'exécution de code à distance : CVE-2026-109618 et CVE-202...
Teamwork makes the dream work. The team and I @J4ck3LSyN @Archknight23 🚨 Heads-up for anyone running PHP: two critical RCE bugs, patch drops tomorrow. The PHP project has confirmed an emergency security release for two critical remote code execution vulnerabilities: CVE-2026-109618 and CVE-202...
Voir la publicationArvid Kahl / @arvidkahl
Le plus étrange dans cette situation d'exploitation de PHP avant divulgation, c'est qu'apparemment, « hé Chat, regarde le code source de PHP et trouve le candidat le plus susceptible d'avoir un CVSS de 10 », c'est un point de départ suffisant pour créer une PoC. Eh bien, je suppose qu'on va tous se remettre à l'élevage de bovins.
The weirdest part of this pre-disclosure PHP exploit situation is that, apparently, “hey chat look at php-source and find the most likely candidate for a CVSS 10” is a good enough starting point for building a PoC. Well, I guess it's back to cattle farming for all of us.
Voir la publicationMarc Köhlbrugge / @marckohlbrugge
Si cette vulnérabilité PHP permet l'exécution de code à distance, ça ne veut pas dire qu'on peut s'en servir pour appliquer automatiquement un correctif à tous les serveurs vulnérables ?
if this PHP vulnerability allows remote code execution, doesn't that mean we can use the vulnerability to auto-patch all vulnerable servers?
Voir la publication@zekramu
Quiconque résoudra les problèmes de cybersécurité moderne et de risque lié à la chaîne d'approvisionnement logicielle à l'ère de l'IA gagnera mille milliards de dollars
whoever solves modern cybersecurity and software supply risk in the age of AI is going to make a trillion dollars
Voir la publication@ncsc
Le NCSC a mis à jour son alerte sur PHP pour tenir compte de la publication de mesures d'atténuation. Nous encourageons les organisations britanniques à agir immédiatement. Pour en savoir plus sur le problème et consulter nos recommandations, rendez-vous ici ⬇️ https://www.ncsc.gov.uk/...
The NCSC has issued an update to the PHP alert reflecting the release of mitigations. We encourage UK organisations to take immediate action. For more information on the issue as well as our guidance, head to⬇️ https://www.ncsc.gov.uk/...
Voir la publication@unit42_intel
CVE-2026-109618 et CVE-2026-109619 sont deux vulnérabilités critiques d’exécution de code à distance (RCE) dans PHP, avec un score CVSS de 9,2. Nous conseillons aux organisations d’évaluer leurs serveurs web et d’appliquer immédiatement les correctifs. Consultez notre dernier Threat Brief pour connaître les mesures d’atténuation : https://unit42.paloaltonetworks.com/ ...
CVE-2026-109618 and CVE-2026-109619 are two Critical RCE vulnerabilities in PHP with CVSS scores of 9.2. We advise organizations to assess web servers and patch immediately. Read our latest Threat Brief for mitigations: https://unit42.paloaltonetworks.com/ ...
Voir la publicationDavid Vorick / @davidvorick
La NSA demande aux entreprises américaines de mettre leurs systèmes de production hors ligne. L’ère de la cybersécurité à l’ère de l’IA est bel et bien arrivée. [publication citée]
The NSA is telling American companies to take production systems offline. The AI-era of cybersecurity has fully arrived. [embedded post]
Voir la publicationDane Knecht / @dok2001
L’article de Cloudflare sur notre réponse à php2shell est en ligne. Les règles ont été activées à 03:02 UTC, environ 9 heures avant la divulgation. Malheureusement, la vulnérabilité a fuité prématurément : nous surveillions donc déjà les attaquants modifier leurs payloads pour contourner les règles et nous mettions celles-ci à jour au fil de l’apparition de nouvelles variantes. De nouvelles règles continuent d’arriver...
The Cloudflare's writeup on our php2shell response is up. Rules went live at 03:02 UTC, about 9 hours before disclosure. Unfortunately the vulnerability leaked early, so we were already watching attackers mutate payloads against the rules and updating as variants appeared. New rules keep landing...
Voir la publication@laravel
Nous avons temporairement suspendu les déploiements Laravel Cloud pendant que nous travaillons à automatiser le déploiement d’instances PHP corrigées. Les images Vapor pour PHP 8.2+ sont en cours de création et le déploiement automatisé commencera bientôt. Envoyer a été temporairement mis hors ligne pour recevoir le correctif. Nous continuerons à fournir fréq...
We have temporarily halted Laravel Cloud deployments while we work on automated deployment of patched PHP instances. PHP 8.2+ Vapor images are being built and automated deployment will begin shortly. Envoyer has been temporarily taken offline to receive patching. We will continue to provide freq...
Voir la publication@bishara
LE MONDE QUE TU CONNAISSAIS N’EXISTE PLUS 😭 EXPLOIT DÈS LE PREMIER JOUR JE SUIS MORT DE RIRE FRÈRE
THE WORLD YOU KNEW IT DOESNT EXIST ANYMORE 😭 DAY 1 EXPLOIT IM DYING BRO
Voir la publication@uwu_underground
Étape 1. Testez vos serveurs CloudFlare par fuzzing pour déterminer ce qui est filtré au niveau du WAF. Étape 2. Faites de la rétro-ingénierie sur une vulnérabilité. Étape 3. Faites des bénéfices. [publication citée]
Step 1. Fuzz your CloudFlare servers to figure out what gets filtered at the WAF level Step 2. reverse engineer a vulnerability Step 3. Profit [embedded post]
Voir la publicationMatt Johnston / @mattinformed
À propos de la vulnérabilité PHP, j’ai vu des chercheurs en sécurité recommander aux gens de limiter leur navigation sur le Web pendant quelques jours (en raison du risque que des sites courants soient compromis via cette vulnérabilité). Du code d’exploitation est disponible, mais on ne sait pas s’il est « dans la nature ». Mais...
Regarding the PHP vulnerability, I have seen some security researchers recommending people limit web browsing for a few days (due to the potential for common websites to be compromised via this vuln). There is exploit code available for this vuln, though it is not known to exist “in the wild.” But...
Voir la publicationFlorian Roth / @cyb3rops
Bon, puisque la nouvelle est déjà sortie : une vulnérabilité d’exécution de code à distance (RCE) dans le cœur de PHP, CVSS 10,0. La publication de détails supplémentaires est prévue le 20 octobre. Seul PHP 8 recevra des correctifs.
Okay, since the news is already out: an RCE vulnerability in PHP core, CVSS 10.0. Further details are scheduled for release on October 20. Only PHP 8 will receive patches.
Voir la publicationBrendan Dolan-Gavitt / @moyix
Ce serait vraiment drôle si tous ceux qui soumettent ce soir le code de PHP à leurs LLM y découvraient des dizaines d’AUTRES vulnérabilités critiques en plus de celles qui seront corrigées demain.
It's going to be really funny if everyone pointing their LLMs at the PHP codebase tonight finds dozens of OTHER critical vulnerabilities aside from the ones getting fixed tomorrow
Voir la publicationTridev Gurung / @tridevgurung
On a temporairement mis buymemomo hors ligne par précaution, c’est pour ça que vous allez voir cette capture d’écran. …
we've temporarily taken buymemomo offline as a precaution, which is why you'll be seeing this screenshot. …
Voir la publicationBrandon / @burcs
C’est assez dingue de travailler dans une entreprise qui peut, en gros, appuyer sur un bouton et protéger 20 % d’Internet contre des vulnérabilités critiques [publication citée]
it's kind of wild to work at a company that can basically flip a switch and protect 20% of the internet from critical vulns [embedded post]
Voir la publication