À 16h00, l’équipe PHP prévoit de publier des correctifs pour deux failles de sécurité jugées critiques. Le planning pourrait être révisé si des fuites d’informations surviennent.
Le 20 octobre, le groupe de développement PHP a diffusé un important bulletin de sécurité concernant ces deux vulnérabilités. Les informations détaillées et les correctifs seront rendus publics aujourd’hui à 16h00, heure de la métropole. Le bulletin indique que les deux failles obtiennent un score CVSS v4 de 9,2 sur 10. L’équipe recommande aux utilisateurs et aux entreprises concernés de se préparer à appliquer les correctifs dans les meilleurs délais. Ce calendrier reste susceptible d’évoluer au cours de la journée.
« Nous nous réservons le droit de divulguer plus tôt si des détails sur l’une ou l’autre des vulnérabilités deviennent publics, ou si des preuves d’exploitation active devaient apparaître dans la nature ».
Des informations générales circulent déjà. Bleeping Computer a déclaré avoir échangé avec les chercheurs en sécurité de watchTowr. Les deux failles sont de type RCE (remote code execution) et sont exploitables à distance, touchant les branches 5, 6, 7 et 8 de PHP. Elles sont répertoriées sous les références CVE-2026-109618 et CVE-2026-109619, et font l’objet d’une fiche du CERT‑EU.
LOGICIEL SUR MESURE POUR VOTRE ENTREPRISE OU ORGANISATION
Conception de logiciels sur-mesure pour Commerce, Logistique, Eau & Assainissement, RH, BTP, Santé & ONG. Solutions web et mobiles adaptées avec intégration IA
Le CERT‑EU recommande « vivement d’identifier les applications basées sur PHP et de se préparer à corriger dès que des versions corrigées seront disponibles. Lorsque la remédiation immédiate n’est pas envisageable, les organisations devraient envisager d’isoler les applications connectées à Internet des réseaux publics jusqu’à ce qu’une solution soit appliquée ». Le même organisme confirme le caractère RCE des vulnérabilités.
Sur le réseau social X, watchTowr a averti hier soir que des informations avaient fuité alors que tout le monde était « censé attendre ». L’entreprise a indiqué à Bleeping Computer qu’elle ne publierait pas les détails avant l’heure prévue « pour des raisons évidentes ». watchTowr a ajouté : « Prenez-les au sérieux et appliquez les correctifs dès qu’ils seront disponibles ».
Nous mettrons à jour cet article dès que les détails complets des failles seront rendus publics.
Source : NEXT
