La PHP Foundation détaille comment elle a découvert et corrigé les deux failles, et explique avoir dû publier les correctifs un jour plus tôt après la diffusion en ligne des deux identifiants CVE

Édition du mercredi 21 octobre 2026

La PHP Foundation détaille comment elle a découvert et corrigé les deux failles, et explique avoir dû publier les correctifs un jour plus tôt après la diffusion en ligne des deux identifiants CVE

The PHP Foundation · mercredi 21 octobre 2026 à 18 h 12

Lire l’article original sur The PHP Foundation →

Plus tôt aujourd’hui, le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces versions corrigent deux vulnérabilités critiques qui…

The PHP Foundation details how it found and fixed the two flaws, and says it had to release patches a day early after the two CVE IDs began circulating online

Earlier today, the PHP project released PHP 8.5.12, 8.4.27, 8.3.36, and 8.2.35. These releases fix two critical vulnerabilities that…

Voir sur Techmeme

Plus de couverture

Jonathan Greig / The Record
PHP affirme que l’analyse par l’IA de bugs critiques a déclenché l’alerte en août, mais que des signes étaient apparus en 2024
PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024
Simon Willison / Simon Willison's Weblog
La mise à jour de sécurité PHP d’aujourd’hui et la manière dont nous renforçons la sécurité de PHP (via) …
Today's PHP Security Release, and How We're Strengthening PHP Security (via) …
Bruce Gil / Gizmodo
« Attendez-vous à des attaques massives dans les 15 minutes » : des hackers prêts à exploiter des failles récemment découvertes sur les sites web
‘Expect Mass Attacks Within 15 Minutes’: Hackers Poised to Exploit Newly Discovered Website Flaws
Barbara Ortutay / Associated Press
Des sites web passent hors ligne tandis que leurs responsables corrigent une faille détectée par l’IA dans un langage de programmation web
Some websites go dark as operators address an AI-detected flaw in a web programming language

Sur Bluesky

Mary Branscombe / @marypcbuk
La PHP Foundation a en quelque sorte repéré la première vulnérabilité en 2024, mais « l’équipe de sécurité PHP, qui fonctionne par consensus, a eu du mal à choisir entre les options et a craint les conséquences de faire le mauvais choix » — ne vous acharnez pas sur un groupe de bénévoles pour ça ; acharnez-vous plutôt sur tous ceux qui dépendent de PHP sans contribuer suffisamment à son financement
PHP Foundation kind of found the first vuln in 2024 but “the PHP security team, operating on consensus, struggled to choose between these and feared the repercussions of shipping the wrong choice” — don't dunk on a bunch of volunteers for that; dunk on everyone depending on but not funding PHP enough
Voir la publication
Ian Coldwater / @lookitup.baby
La fuite n’était pas de la faute d’OpenAI. Chainguard a rompu unilatéralement l’embargo en publiant des images compilées contenant les correctifs avant la divulgation des vulnérabilités, obligeant les responsables de la maintenance à se démener pour publier les correctifs plus tôt. — Cette industrie est petite, et on ne peut pas traiter les gens comme ça. C’est tout ce que je dis.
The leak wasn't OpenAI's fault. Chainguard unilaterally broke the embargo by releasing built images with fixes before the vulnerabilities were disclosed, forcing maintainers to scramble to release the patches early. — This industry is small and you just can't treat people like that. I'm just saying
Voir la publication

Sur Mastodon

Arie van Deursen / @avandeursen@mastodon.acm.org
Article de blog à lire absolument de la fondation PHP : — > [ En 2024 ] un développeur du cœur de PHP, sous contrat avec la PHP Foundation, a détecté les premiers signes du problème [out-of-memory] OOM à l’origine de CVE-2026-109618. — > l’absence de voie connue vers l’exécution de code à distance et la petite équipe de développeurs du cœur…
Must-read blog post from the PHP foundation: — > [ In 2024 ] a PHP core developer contracted by the PHP Foundation found the first signs of the [out-of-memory] OOM problem behind CVE-2026-109618. — > the lack of a known path to remote code execution and the small team of core developers …
Voir la publication

Sur les forums

Hacker News
La mise à jour de sécurité de PHP d’aujourd’hui et les mesures prises pour renforcer la sécurité
Today's PHP security release, and how we're strengthening security
r/PHP
La mise à jour de sécurité de PHP d’aujourd’hui et les mesures prises pour renforcer la sécurité de PHP
Today's PHP Security Release, and How We're Strengthening PHP Security
r/cybersecurity
La mise à jour de sécurité PHP du jour et les mesures prises pour renforcer la sécurité de PHP — The PHP Foundation
Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation

Liens et extraits sélectionnés par Techmeme ; traductions automatiques, le texte original figure en gris sous chaque traduction.

Le Fil Tech