PHP : exécution de code à distance

1. Vérifier si vous êtes concerné

   Comparer la version installée aux versions corrigées ci-dessous.

   php -v
   php-fpm -v

2. Corriger

   Versions corrigées : voir l'avis de l'éditeur (lien dans les sources).

   Mettre à jour PHP (paquets de la distribution ou version officielle), puis redémarrer tous les processus PHP : PHP-FPM, Apache avec mod_php, workers.

   Migrer toute branche qui ne reçoit plus de correctifs (voir le panneau « Versions de référence »).

   sudo apt update && sudo apt install --only-upgrade "php*"
   sudo systemctl restart php*-fpm apache2

3. En attendant le correctif

   Bloquer ou filtrer au pare-feu applicatif (WAF) les requêtes qui exploitent la faille, si une règle est publiée.

   Isoler du réseau les serveurs exposés qui ne peuvent pas être corrigés rapidement.

4. Contrôler

   php -v doit afficher la version corrigée, y compris pour PHP-FPM (php-fpm -v) et dans un phpinfo() servi par le site.

   Rechercher dans les journaux d'accès des requêtes anormales depuis la date de divulgation.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

On 20 October 2026, the PHP project announced an upcoming security release addressing two critical vulnerabilities in PHP. Public reports indicated that these vulnerabilities could lead to remote code execution. The PHP team released the fixes today, 21 October 2026 at 13:30 UTC, in PHP versions 8.5.12, 8.4.27, 8.3.36 and 8.2.35. Both vulnerabilities can allow unauthenticated remote code execution. Technical details are now being discussed publicly, and initial proofs of concept (PoCs) have begun to circulate. This raises the likelihood that attackers are already exploiting the vulnerabilities. CERT-EU advises organisations to patch affected assets immediately. Where that is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix is applied and verified.