PHP : exécution de code à distance — corrigée en 8.2.35, 8.5.12, 8.4.27, 8.3.36

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   PHP toutes versions 8.0.x

   PHP versions 8.2.x antérieures à 8.2.35

   PHP versions 8.5.x antérieures à 8.5.12

   PHP toutes versions 8.1.x

   PHP toutes versions 7.x

   PHP versions 8.4.x antérieures à 8.4.27

   PHP versions 8.3.x antérieures à 8.3.36

   PHP toutes versions 5.x

   PHP toutes versions 6.x

   IOS XE Software versions 26.2.x et antérieures à 26.2.1

   Snort 3 versions 3.x antérieures à 3.12.4.0

   IOS XR Software versions 24.1 et antérieures à 24.1.2 and SMU asr9k-x64-24.1.2.CSCwn39554

   IOS XR Software versions 24.4.x et antérieures à 24.4.2

   Secure FTD Software versions 7.2.x et antérieures à 7.2.12

   Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, and Unity Connection versions postérieures à 14 et antérieures à 15SU5

   IOS XE Software versions 17.18.x et antérieures à 17.18.5

   php -v
   php-fpm -v

2. Corriger

   Versions corrigées : 8.2.35, 8.5.12, 8.4.27, 8.3.36, 26.2.1, 3.12.4.0, 24.1.2, 24.4.2, 7.2.12, 15SU5, 17.18.5, 17.15.6, 26.1.2, 7.11.21, 10.0.2, 5.6.0.

   Mettre à jour PHP (paquets de la distribution ou version officielle), puis redémarrer tous les processus PHP : PHP-FPM, Apache avec mod_php, workers.

   Migrer toute branche qui ne reçoit plus de correctifs (voir le panneau « Versions de référence »).

   sudo apt update && sudo apt install --only-upgrade "php*"
   sudo systemctl restart php*-fpm apache2

3. En attendant le correctif

   Contournement publié par le CERT-FR (non qualifié) :

   Ces contournements provisoires ne sont pas qualifiés par le CERT-FR : 1. appliquer la configuration suivante dans le fichier php.ini : session.upload_progress.enabled = Off Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit : php_admin_flag[session.upload_progress.enabled] = off La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Cette mesure d'atténuation réduit la surface d'attaque que pour la vulnérabilité CVE-2026-109619 [2]. 2. bloquer toutes requêtes HTTP dont l'en-tête contient un *Content-Type* positionné à la valeur *multipart*. Si le blocage ne peut être appliqué, il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête. Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (*Web Application Firewall*).

   PHP2Shell : désactiver session.upload_progress.enabled dans php.ini, et dans chaque pool PHP-FPM avec php_admin_flag[session.upload_progress.enabled] = off (pas via ini_set ni .user.ini).

   Bloquer, ou à défaut surveiller, les requêtes HTTP de type multipart au pare-feu applicatif (recommandation du CERT-FR).

   Resserrer memory_limit et post_max_size, et limiter la mémoire des conteneurs.

   Bloquer ou filtrer au pare-feu applicatif (WAF) les requêtes qui exploitent la faille, si une règle est publiée.

   Isoler du réseau les serveurs exposés qui ne peuvent pas être corrigés rapidement.

4. Contrôler

   php -v doit afficher la version corrigée, y compris pour PHP-FPM (php-fpm -v) et dans un phpinfo() servi par le site.

   Rechercher dans les journaux d'accès des requêtes anormales depuis la date de divulgation.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

**[Mise à jour du 22 octobre 2026]** Le CERT-FR a connaissance de preuves de concept pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifique de PHP. **[Mise à jour du 21 octobre 2026]** Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance. **[Publication Initiale]** Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). L'éditeur n'assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x [1]. Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur. Risques : Exécution de code arbitraire à distance.