La PHP Foundation explique comment elle a découvert et corrigé les deux failles, et dit avoir dû publier les correctifs un jour plus tôt après la diffusion en ligne des deux identifiants CVE
À lire aussi
Lily Hay Newman / Wired · Selon les analystes d’AWS, un acteur a tenté d’exploiter les failles PHP2Shell le 17 octobre, quatre jours avant leur divulgation publique et la publication de correctifs
Amazon Web Services a enregistré, il y a quatre jours, des tentatives d’exploitation des failles PHP2Shell, capables de mettre à mal Internet. Elles sont désormais « largement exploitées » sur Internet.
Wired · La PHP Foundation indique que ses correctifs contre les vulnérabilités RCE ne concernent que PHP 8.2 et les versions ultérieures, laissant les anciennes installations dépendre de fournisseurs tiers
La PHP Foundation a révélé deux vulnérabilités graves susceptibles de toucher des millions de sites web.
PHP · PHP publie des correctifs de sécurité pour deux failles critiques d’exécution de code à distance sans authentification et exhorte les utilisateurs à mettre à jour leurs installations
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques susceptibles de permettre l’exécution de code à distance sans authentification.
Cloudflare · Cloudflare affirme avoir déployé par défaut des mesures de protection WAF pour tous ses clients, gratuits et payants, contre deux failles PHP, environ neuf heures avant leur divulgation publique
Plus de couverture
- PHP · PHP publie des correctifs de sécurité pour deux vulnérabilités critiques d’exécution de code à distance sans authentification, qui touchent toutes les installations traitant les requêtes web, et invite les utilisateurs à mettre PHP à jour
- Isabel O'Brien / CNBC · Pourquoi des gouvernements ont mis hors ligne des sites web à cause du langage de programmation PHP, vieux de plusieurs décennies
- GitHub · Exécution de code à distance via une corruption OOM
- Julie Bort / TechCrunch · Armageddon PHP : OpenAI et Wiz, de Google, découvrent d’anciennes failles et sèment la panique sur Internet
- Matthew Sparkes / New Scientist · Course mondiale pour mettre à jour les ordinateurs après la découverte par l’IA du piratage le plus perturbateur à ce jour
- Jessica Lyons / The Register · PHP accuse l’entreprise de sécurité de la chaîne d’approvisionnement Chainguard d’avoir mis en danger une grande partie du web
- Kev Catalog / CISA · Les vulnérabilités critiques de PHP exigent une mise à jour immédiate
- Ben Smith / RedState · Le jour où Internet a failli être piraté
- Recorded Future · Exploitation de PHP2Shell : deux failles critiques de PHP expliquées
- Edward Targett / The Stack · Runtime : le bruit et le signal de PHP. The Stack Summit : un point de contrôle selon la règle de Chatham House
- Canadian Centre for Cyber Security · Alerte - AL26-026 - Vulnérabilités critiques touchant PHP - CVE-2026-109618 et CVE-2026-109619
- Paul Hill / Neowin · PHP publie en urgence un correctif après la divulgation en ligne de failles critiques d’exécution de code à distance
- Wayne Jones / CryptoPotato · CZ met en garde les utilisateurs de cryptomonnaies : des vulnérabilités critiques de PHP menacent les sites web
- Marcus Schuler / Implicator.ai · PHP corrige un bug mémoire signalé en 2024 après qu’une IA l’a transformé en exploit fonctionnel
- Rae Morey / The Repository · PHP corrige les vulnérabilités critiques PHP2Shell tandis que les hébergeurs de l’écosystème WordPress s’activent pour protéger leurs clients
- Marianne Sison / The Neuron · PHP2Shell révèle les défis de maintenance liés à la chasse aux bugs par l’IA
- Josh Taylor / The Guardian · Qu’est-ce que PHP, et quelle est la gravité de la faille de ce langage informatique qui provoque des interruptions de sites dans le monde entier ?
Sur X
- @chainguard_dev · Deux vulnérabilités critiques de PHP (CVSS 9.2) ont été divulguées aujourd’hui. Elles permettent une exécution de code à distance sans authentification dans les configurations par défaut. Pour aider tout le monde à appliquer rapidement les correctifs, nous mettons gratuitement à disposition de tous des images pour PHP 8.2, 8.3, 8.4 et 8.5. Vous pouvez y accéder ici : https://images.chainguard.dev/ ... Divulgation coordonn...
- Nils Adermann / @naderman · Lisez le récit des failles de sécurité corrigées aujourd’hui dans PHP, que j’ai rédigé pour la PHP Foundation. Quelle semaine épuisante dans le cadre de ce processus. Content que ce soit publié, j’espère que vous ferez tous la mise à jour au plus vite.
- @andrewmohawk · https://thephp.foundation/... Vraiment décevant que les entreprises privilégient le marketing à la sécurité. [image]
- @mikko · @mikko — « Le 21 octobre à 07 h 41 UTC, plus de six heures avant la publication coordonnée …
- Arvid Kahl / @arvidkahl · Il y a une chose que je ne comprends vraiment pas : alors que Cloudflare signale déjà des attaques, pourquoi @ThePHPF n’a-t-elle pas publié ses correctifs au plus vite ? Je comprends le raisonnement : « une fois le correctif publié, la faille peut être exploitée sur les serveurs qui ne l’ont pas installé ». Mais pour l’instant, TOUS les serveurs sont vulnérables. C’est mieux ? !
- @thephpf · Nous avons publié davantage d’informations sur les mises à jour de sécurité d’aujourd’hui, notamment la chronologie des événements ayant conduit à la découverte, la manière dont l’équipe de sécurité de PHP améliore ses processus et ce dont nous avons besoin de votre part pour poursuivre ce travail essentiel. #php #security https://thephp.foundation/...
Sur Bluesky
- Mary Branscombe / @marypcbuk · La PHP Foundation a en quelque sorte découvert la première vulnérabilité en 2024, mais « l’équipe de sécurité de PHP, fonctionnant par consensus, a eu du mal à choisir entre ces options et a craint les conséquences d’un mauvais choix » — ne vous en prenez pas à un groupe de bénévoles pour ça ; reprochez plutôt à tous ceux qui dépendent de PHP de ne pas assez le financer
- Ian Coldwater / @lookitup.baby · La fuite n’était pas la faute d’OpenAI. Chainguard a rompu unilatéralement l’embargo en publiant des images compilées intégrant les correctifs avant la divulgation des vulnérabilités, forçant les responsables de la maintenance à se précipiter pour publier les correctifs plus tôt. — Ce secteur est petit et on ne peut pas traiter les gens comme ça. C’est tout ce que je dis
Sur Mastodon
- Arie van Deursen / @avandeursen@mastodon.acm.org · Article de blog incontournable de la PHP Foundation : — > [En 2024] un développeur du cœur de PHP, engagé par la PHP Foundation, a repéré les premiers signes du problème de dépassement de mémoire (OOM) à l’origine de CVE-2026-109618. — > l’absence de voie connue vers l’exécution de code à distance et la petite équipe de développeurs du cœur…