Failles PHP : l'alerte du 22 distingue correctifs et intrusions
· Rédaction BehindLines
Le Centre national de cybersécurité de Nouvelle-Zélande a actualisé, le 22 octobre, son alerte sur deux failles critiques du langage PHP. Il indique avoir connaissance de signalements d'exploitation active. Cette précision intervient après la publication de correctifs par le projet PHP, le 21 octobre : la disponibilité d'une mise à jour et son installation sur les serveurs sont deux étapes différentes.
PHP sert notamment à faire fonctionner des sites et des applications web. Les vulnérabilités, identifiées CVE-2026-109618 et CVE-2026-109619, peuvent permettre d'exécuter du code à distance sans authentification sur un serveur concerné. Cette possibilité ne constitue pas, à elle seule, la preuve qu'un site particulier a été compromis. L'alerte néo-zélandaise ne fournit pas de bilan mondial des victimes.
Les versions correctives annoncées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le projet invite aussi les utilisateurs de distributions Linux et d'offres de maintenance longue durée à consulter leur fournisseur pour obtenir les paquets adaptés. La PHP Foundation confirme que les deux problèmes touchent le fonctionnement interne du moteur et que leur correction concernait des mécanismes délicats à modifier.
L'avertissement dépasse les seuls sites administrés directement par une équipe web. Dans un ajout daté du 22 octobre à 10 h 20, le centre néo-zélandais précise que certaines intégrations de PHP, notamment dans des pare-feu ou d'autres équipements, nécessitent une évaluation et des correctifs propres au fournisseur. Une mise à jour du serveur principal ne permet donc pas de conclure que tous les composants concernés ont été traités.
Pour les organisations exposées, le centre demande à la fois d'appliquer les corrections et de rechercher d'éventuels accès non autorisés. Ces deux démarches répondent à des questions distinctes : fermer une faille disponible et déterminer si elle a déjà été utilisée. Les sources consultées ne permettent ni de désigner un responsable des attaques ni de mesurer leur ampleur.
Rédigé avec l'aide de l'IA, vérifié.