PHP : vulnérabilité

1. Vérifier si vous êtes concerné

   Comparer la version installée aux versions corrigées ci-dessous.

   php -v
   php-fpm -v

2. Corriger

   Versions corrigées : voir l'avis de l'éditeur (lien dans les sources).

   Mettre à jour PHP (paquets de la distribution ou version officielle), puis redémarrer tous les processus PHP : PHP-FPM, Apache avec mod_php, workers.

   Migrer toute branche qui ne reçoit plus de correctifs (voir le panneau « Versions de référence »).

   sudo apt update && sudo apt install --only-upgrade "php*"
   sudo systemctl restart php*-fpm apache2

3. En attendant le correctif

   Bloquer ou filtrer au pare-feu applicatif (WAF) les requêtes qui exploitent la faille, si une règle est publiée.

   Isoler du réseau les serveurs exposés qui ne peuvent pas être corrigés rapidement.

4. Contrôler

   php -v doit afficher la version corrigée, y compris pour PHP-FPM (php-fpm -v) et dans un phpinfo() servi par le site.

   Rechercher dans les journaux d'accès des requêtes anormales depuis la date de divulgation.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

The PHP security team would like to give advance notice of an upcoming security release . It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC. It addresses two critical vulnerabilities, both rated CVSS v4.0 9.2. All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available. We reserve the right to release earlier should details of either vulnerability become public, or should evidence of active exploitation appear in the wild. Full details, affected versions, and the fixed versions will be published with the release. Thank you for helping us keep PHP secure.