Incident connexe · avis OpenSSL · janvier–septembre 2026

Vulnérabilités OpenSSL de gravité élevée en 2026 et conséquences pour PHP

Les extensions openssl et curl de PHP appellent la bibliothèque OpenSSL du système. Mettre PHP à jour ne met pas OpenSSL à jour.

Dernière mise à jour 2026-10-22

Avis OpenSSL de gravité élevée en 2026

D’après les avis OpenSSL

CVE	Publié	Problème	Corrigé dans
CVE-2025-15467	27/01/2026	Dépassement de pile dans l’analyse CMS (Auth)EnvelopedData ; avant authentification ; DoS ou potentiellement RCE	3.6.1, 3.5.5, 3.4.4, 3.3.6, 3.0.19
CVE-2026-45447	09/06/2026	Use-after-free dans PKCS7_verify() avec un PKCS#7 / S/MIME forgé	4.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21
CVE-2026-84782	29/09/2026	Lecture hors limites lors de la retransmission DTLS ; fuite de tas ou plantage	4.0.3, 3.6.5, 3.5.9, 3.4.8

Quel OpenSSL utilise mon PHP ?

Vérifier la bibliothèque liée

# Which OpenSSL is PHP linked against?
php -i | grep -i -E '^openssl|OpenSSL Library|OpenSSL Header'
openssl version
# Distribution packages often backport fixes without changing the upstream number:
apt-cache policy openssl libssl3     # Debian / Ubuntu
rpm -q openssl openssl-libs          # RHEL family

Comment corriger

Mettre à jour les paquets OpenSSL de la distribution (libssl3 / openssl-libs) et redémarrer PHP-FPM, Apache et les workers de longue durée.
Reconstruire les images Docker sur une image de base récente.
Pour les piles embarquant OpenSSL, installer la build mise à jour de l’éditeur.

FAQ

Mettre à jour PHP corrige-t-il les failles OpenSSL ?

Généralement non. Les paquets PHP des distributions utilisent la libssl du système : mettez à jour le paquet OpenSSL. Les versions embarquant leur propre OpenSSL nécessitent une nouvelle build de l’éditeur.

Un site PHP classique est-il exposé ?

Cela dépend du code. CVE-2025-15467 et CVE-2026-45447 concernent l’analyse de messages CMS ou PKCS#7 comme S/MIME, que PHP expose via openssl_cms_decrypt() ou openssl_pkcs7_verify(). Nous n’avons pas vu de vecteur d’attaque propre à PHP rendu public ; corrigez la bibliothèque quand même.

Ma distribution affiche un ancien numéro d’OpenSSL. Suis-je vulnérable ?

Pas forcément. Debian, Ubuntu et RHEL rétroportent les correctifs sans changer le numéro amont ; consultez le suivi de sécurité de votre distribution.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

OpenSSL Security Advisory, 27 January 2026 (CVE-2025-15467) — OpenSSL
OpenSSL Security Advisory, 9 June 2026 (CVE-2026-45447) — OpenSSL
OpenSSL Security Advisory, 29 September 2026 (CVE-2026-84782) — OpenSSL
Vulnerabilities list — OpenSSL
OpenSSL runtime configuration (openssl.cafile, openssl.capath) — PHP manual