PHP : faille de corruption mémoire exploitée, corrigée en 8.2.35, 8.3.36, 8.4.27 et 8.5.12

En bref

• Produit : PHP (PHP Group)
• Versions affectées : de 7.3.0 jusqu'avant 8.2.35, de 8.3.0 jusqu'avant 8.3.36, de 8.4.0 jusqu'avant 8.4.27 et de 8.5.0 jusqu'avant 8.5.12
• Version corrigée : 8.2.35, 8.3.36, 8.4.27 et 8.5.12
• Sévérité : critique, score CVSS 9.8 (NVD)
• CVE : CVE-2026-109618
• Exploitation active : oui (faille inscrite au catalogue CISA KEV)
• Date de l'avis : 21 octobre 2026 (NVD) ; inscription au catalogue CISA KEV le 26 octobre 2026

L'agence américaine de cybersécurité (CISA) a ajouté le 26 octobre 2026 une vulnérabilité de PHP à son catalogue des failles connues pour être exploitées (Known Exploited Vulnerabilities, ou KEV). Référencée CVE-2026-109618 et intitulée « PHP Memory Corruption Vulnerability », elle est décrite comme une corruption de mémoire qui permet une exécution de code à distance sans authentification.

L'inscription au catalogue KEV signifie que la CISA dispose d'éléments attestant d'une exploitation réelle. L'agence a fixé aux administrations fédérales américaines une échéance de traitement au 29 octobre 2026, soit un délai particulièrement court, révélateur du niveau de priorité accordé à cette faille. Le catalogue indique en revanche qu'un usage dans des campagnes de rançongiciel n'est pas connu à ce jour.

À la date de rédaction, la source consultée ne précise ni les branches de PHP touchées, ni la version qui corrige le problème, ni de score CVSS. Ces éléments seront ajoutés à cette alerte dès qu'ils seront publiés par l'éditeur ou par une base de vulnérabilités reconnue.

Mise à jour du 29 octobre 2026

La fiche de la base NVD, publiée le 21 octobre 2026, apporte les éléments qui manquaient à la première version de cette alerte. La faille reçoit un score CVSS de 9.8, soit une sévérité critique. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Selon cette fiche, la cause est une mauvaise gestion des erreurs de mémoire insuffisante, qui laisse de la mémoire non initialisée.

La plage affectée commence à 7.3.0, mais seules quatre branches reçoivent un correctif. Un serveur qui fonctionne sur une branche plus ancienne ne peut pas être corrigé par une simple mise à jour mineure : il doit migrer vers une branche corrigée.

Qui est concerné ?

PHP est le langage d'exécution d'une grande partie des sites web : WordPress, WooCommerce, PrestaShop, Symfony, Laravel ou Sylius reposent tous sur lui. Tout serveur qui exécute PHP et sert des pages accessibles depuis Internet est donc potentiellement exposé, d'autant que l'exploitation ne demande aucun compte sur le site visé.

Les agences et freelances qui maintiennent un parc de sites clients sont particulièrement concernés : un même hébergement mutualisé ou une même image serveur peut porter la même version de PHP sur des dizaines de sites. Les hébergements gérés, où la version de PHP est administrée par l'hébergeur, dépendent du calendrier de mise à jour de ce dernier.

Que faire ?

• Inventorier les serveurs et les hébergements qui exécutent PHP, y compris les environnements de préproduction exposés sur Internet.
• Mettre à jour PHP vers la version corrigée de votre branche (8.2.35, 8.3.36, 8.4.27 ou 8.5.12), via l'éditeur ou votre distribution Linux ; sur une branche non corrigée, migrer vers une branche corrigée.
• Pour les hébergements gérés, interroger l'hébergeur sur son calendrier de mise à jour.
• Vérifier les journaux du serveur web et de PHP : erreurs inhabituelles, plantages répétés des processus, fichiers récemment créés ou modifiés dans les répertoires du site.
• Si l'exposition d'un actif ne peut pas être réduite et qu'aucune atténuation n'est disponible, envisager de le retirer d'Internet, comme le recommande la CISA.
• En cas de compromission avérée, isoler le site, restaurer une sauvegarde saine antérieure à l'intrusion, puis changer les mots de passe et les clés d'accès.

Sources

• CISA, catalogue Known Exploited Vulnerabilities : CVE-2026-109618 (ajout du 26 octobre 2026)
• NVD : fiche CVE-2026-109618
• Avis de sécurité du projet PHP sur GitHub

Cette alerte sera mise à jour si de nouvelles informations sont publiées.