PHP 8.3

PHP 8.3 est-il affecté par PHP2Shell ?

L’équipe sécurité de PHP cite PHP 8.3 avant 8.3.36 dans la liste des versions affectées pour les deux CVE. PHP 8.3.36 est la première version amont de cette branche qui les corrige. Un numéro de version égal ou supérieur à 8.3.36 est la comparaison publiée par le projet ; il ne prouve pas que le serveur web a redémarré avec ce binaire.

Dernière mise à jour 2026-10-22

Faits sur la branche PHP 8.3. La colonne des sources indique la page qui étaye la cellule, pas un second avis de ce site.

Fait	Ce que dit la source	Source
Plage affectée	PHP 8.3 avant 8.3.36	oss-security
Correctif amont	8.3.36 le 21 octobre 2026 ou une version 8.3 ultérieure	php.net
Les deux CVE	Une seule version corrige CVE-2026-109618 et CVE-2026-109619. Il n’existe pas de second numéro de correctif.	php.net
Gravité	CVSS v4.0 9.2 pour chaque CVE, selon l’équipe sécurité de PHP	oss-security
Où cela s’applique	Installations qui servent des requêtes web. Apache mod_php est le risque le plus élevé selon PHP. PHP-FPM est également affecté.	php.net
Que faire	Mettre à jour vers 8.3.36 ou plus récent et redémarrer les workers. La CISA conseille de corriger immédiatement. Un pare-feu n’est pas une solution complète.	CISA ; php.net

Comment lire un numéro de version

Comparez le triplet majeur.mineur.correctif avec 8.3.36. Tout ce qui est inférieur dans la branche 8.3 correspond à la plage citée par l’équipe sécurité. Le vérificateur de version effectue cette comparaison dans le navigateur et ne détecte pas si une distribution a conservé un numéro plus ancien en livrant un rétroportage avec un suffixe de paquet. Sur cette branche prise en charge, le correctif amont est lui-même un changement de version : un triplet inférieur à 8.3.36 n’est donc pas le correctif php.net.

Après l’installation, vérifiez la SAPI qui répond en HTTP, pas seulement php -v dans un shell d’administration. Redémarrez php-fpm ou Apache pour que le nouveau binaire serve le trafic. Les étapes pour apt, dnf, Docker, cPanel et Plesk figurent sur la page de remédiation, le chemin de clics pour 宝塔面板 sur la page BT Panel.

Autres branches

PHP 8.3 est-il vulnérable ?

Oui, avant 8.3.36. Le message oss-security de Jakub Zelenka cite PHP 8.3 sous 8.3.36 parmi les versions affectées par CVE-2026-109618, dans la même fenêtre de publication que CVE-2026-109619. L’avis de php.net traite les deux ensemble.

Quelle version de PHP 8.3 corrige la faille ?

PHP 8.3.36, publié le 21 octobre 2026, ou une version ultérieure de la branche 8.3. C’est le correctif amont de CVE-2026-109618 et CVE-2026-109619. Installez-le, puis redémarrez Apache, PHP-FPM ou la SAPI qui sert le site.

8.3.36 corrige-t-il les deux CVE ?

Le projet PHP a publié un ensemble de versions commun pour les deux failles. Il n’existe pas de correctif 8.3 distinct pour CVE-2026-109618 et un autre pour CVE-2026-109619.

Un pare-feu ou une modification de php.ini suffit-il ?

Non. Selon le projet PHP, seule une mise à jour est une solution complète. Les réglages provisoires réduisent certains chemins et figurent sur la page de remédiation. Ils ne remplacent pas PHP 8.3.36.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)