Édition du mercredi 21 octobre 2026
Cloudflare affirme avoir déployé par défaut des mesures de protection WAF pour tous ses clients, gratuits et payants, contre deux failles PHP, environ neuf heures avant leur divulgation publique
À lire aussi
PHP
PHP publie des correctifs de sécurité pour deux failles critiques d’exécution de code à distance sans authentification et exhorte les utilisateurs à mettre à jour leurs installationsPHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques susceptibles de permettre l’exécution de code à distance sans authentification.
The PHP Foundation
La PHP Foundation détaille comment elle a découvert et corrigé les deux failles, et explique avoir dû publier les correctifs un jour plus tôt après la diffusion en ligne des deux identifiants CVEPlus tôt aujourd’hui, le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces versions corrigent deux vulnérabilités critiques qui…
Lily Hay Newman / Wired
Selon les analystes d’AWS, un acteur a tenté d’exploiter les failles PHP2Shell le 17 octobre, quatre jours avant leur divulgation publique et la publication de correctifsAmazon Web Services a enregistré, il y a quatre jours, des tentatives d’exploitation des failles PHP2Shell, capables de mettre à mal Internet. Elles sont désormais « largement exploitées » sur Internet.
Robert McMillan / Wall Street Journal
Les créateurs de PHP révèlent une faille critique de gestion de la mémoire, baptisée « PHP2Shell », qui touche jusqu’à 70 % des sites web et découverte en août grâce à GPT-5.6 SolWired
La PHP Foundation indique que ses correctifs contre les vulnérabilités RCE ne concernent que PHP 8.2 et les versions ultérieures, laissant les déploiements anciens dépendre de fournisseurs tiersReuters
Plusieurs sites gouvernementaux, scolaires et hospitaliers européens sont mis hors ligne alors que les organisations s’empressent de se protéger contre deux failles critiques de sécurité dans PHPOpenAI
OpenAI affirme que les failles de PHP découvertes avec GPT-5.6 Sol « comptent parmi plusieurs vulnérabilités importantes » et s’attend à une « forte hausse des découvertes similaires »
Plus de couverture
Sur LinkedIn
🚨 Hier, des informations ont fuité sur deux vulnérabilités d’exécution de code à distance dans PHP, désormais connues sous le nom de « PHP2Shell » (CVE-2026-109618 …
Sur X
Les sites PHP protégés par Cloudflare bénéficient déjà d’un premier ensemble de règles WAF déployées contre les vecteurs d’exploitation connus de ces vulnérabilités. Ces règles sont accessibles à tous les clients, y compris ceux de l’offre gratuite. Nous constatons l’apparition des premières attaques et mettons à jour les mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent. Ce n’est qu’une SOLUTION TEMPORAIRE. Appliquez le correctif dès que @ThePHPF publiera la mise à jour aujourd’hui à 14:00 UTC. [publication citée]
Des chercheurs de @wiz_io ont mis Gemini 4 Argon à l’épreuve face à des cybermenaces complexes. Lors de tests en conditions réelles, il a détecté plus de deux fois plus de vulnérabilités que les modèles de référence — repérant un risque critique passé inaperçu auprès des modèles de pointe précédents. Découvrez comment ils s’y sont pris ↓
Nous avons dû inventer une nouvelle forme de WAF pour atténuer cette dernière série de vulnérabilités. Elle est maintenant activée par défaut et gratuitement pour tous les clients.
Si vous hébergez vous-même vos logiciels, vous devriez vraiment les placer derrière le pare-feu de Cloudflare ou de Vercel. Les règles de pare-feu et les données dont ils disposent sur les tentatives d’exploitation sont essentielles en ce moment.
dépassés par les vulnérabilités php et vous ne savez pas par où commencer ni comment vous y prendre ? on a ajouté un prompt à copier sur le blog cloudflare, que vous pouvez fournir à votre agent https://blog.cloudflare.com/ ... [image]
J’ai été très critique pendant des années à l’idée que Cloudflare devienne un point de défaillance unique pour de nombreux sites. Mais le revers de la médaille, c’est que son effet de levier en matière de sécurité est aussi très positif. C’est vraiment super. https://x.com/... [publication citée]
Cloudflare a déployé des protections par défaut de pare-feu applicatif web (WAF) contre des vulnérabilités PHP récemment révélées, avant leur divulgation publique. Les règles s’appuient sur les signaux des requêtes et des réponses pour bloquer les tentatives d’exploitation et empêcher que des données exposées ne parviennent aux attaquants. https://blog.cloudflare.com/ ...
Cloudflare détecte déjà les premières attaques exploitant les vulnérabilités zero-day RCE de PHP, qui propulse de nombreux sites web malaisiens. MKN, NACSA, le National Cybersecurity Committee et MCMC n’ont publié aucun avertissement et ne font rien pour y remédier. Ils sont plus préoccupés par le jus de Waze. [publication citée]