Pas php.net · Pas la NVD · Pas la CISA

Suivi des vulnérabilités PHP

Note d’information non officielle sur les vulnérabilités de sécurité PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Alerte de sécurité

PHP2Shell : mettez PHP à jour. C’est le seul correctif complet.

CVE-2026-109618 et CVE-2026-109619 sont des failles critiques de PHP lui-même, permettant une exécution de code à distance sans authentification. Le projet PHP a publié des correctifs le 21 octobre 2026 pour les branches maintenues 8.2 à 8.5. Redémarrez PHP après la mise à jour. Un pare-feu ne la remplace pas.

Étapes de correction

Fin de vie

PHP 5 à 8.1 sont-ils affectés, et quelle version corrige la faille ?

Aucune version officielle de PHP ne corrige ces deux CVE sur PHP 8.1 ou antérieures. Le projet PHP n’a publié que des rétroportages minimaux du code source pour 7.4, 8.0 et 8.1. En dessous, les analyses citées n’utilisent pas de plage commune ; cette page préserve donc la contradiction au lieu de la lisser.

Dernière mise à jour

Les cellules se contredisent volontairement. Lisez la colonne des sources avant de reprendre une ligne comme plage.
AffirmationCe que dit cette sourceSource
Branches corrigées par PHP via une version8.2 avant 8.2.35, 8.3 avant 8.3.36, 8.4 avant 8.4.27, 8.5 avant 8.5.12oss-security
PHP 8.1 et antérieuresPlus de mises à jour du projet PHP. Rétroportages minimaux du code source uniquement pour 7.4, 8.0 et 8.1, pour ceux qui compilent eux-mêmes.php.net
Limite basse chez Google CloudToutes les versions de PHP 5.4 à 8.5.11Google Cloud
Limite basse chez CloudflarePHP 5.4 ou plus récentCloudflare
WizLes failles remontent à PHP 5.4 ; presque toute version de la dernière décennie est touchée par au moins uneWiz
watchTowr, FAQ du 20 octobrePHP 5, 7 et 8 dans leur ensemble. Rédigé avant l’avis définitif.FAQ watchTowr
Correction d’ExpelLes rétroportages montrent que 7.4, 8.0 et 8.1 sont affectées. PHP n’a pas explicitement confirmé 7.3 et antérieures dans les éléments consultés.Expel
Si aucune mise à jour n’est possibleDéconnecter le système, y compris explicitement PHP 8.1 et antérieuresCISA
Pas une version PHPLes paquets Linux 7.4.34, 8.0.31 et 8.1.35 de 宝塔 sont des builds du panneau ; selon l’avis, ils contiennent les deux correctifs. Windows ne reçoit pas ces trois paquets.Avis 宝塔

Ce que « corrigé » peut signifier sur ces branches

Un numéro de version comme 8.1.34 ou 7.4.33 n’indique pas si un rétroportage de la distribution est installé. Le vérificateur classe donc ces lignes en fin de vie. cPanel et Plesk ont publié leurs propres identifiants de build, voir la page des éditeurs. Les numéros de 宝塔 figurent uniquement sur la page BT Panel, et seuls les paquets Linux y sont revendiqués pour 7.4, 8.0 et 8.1.

La voie prise en charge pour quitter cette page est une mise à niveau vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. PHP 5 avant 5.4 n’est pas la limite basse chez Wiz, Google Cloud et Cloudflare – et ce n’est pas pour autant une version qui a sa place sur Internet.

Branches prises en charge

PHP 8.1 est-il affecté ?

PHP n’a publié aucune version 8.1 le 21 octobre 2026, mais un rétroportage minimal du code source pour 8.1 – la preuve que 8.1 était affecté, mais pas un paquet installable depuis php.net. La CISA conseille de déconnecter PHP 8.1 et antérieures si aucune mise à jour n’est possible. Un build fournisseur peut contenir le rétroportage sans nouveau numéro de version amont, c’est pourquoi le vérificateur de version ne le détecte pas.

PHP 7.4 ou 8.0 sont-ils affectés ?

Comme pour 8.1 : pas de nouvelle version officielle, mais un rétroportage minimal du code source existe pour les deux. Expel classe 7.4, 8.0 et 8.1 comme affectées sur la base des rétroportages. Mettez à jour vers 8.2.35 ou plus récent, ou confirmez un rétroportage fournisseur précisément identifiable.

PHP 5.4 ou PHP 7.3 et antérieures sont-ils affectés ?

Wiz, Google Cloud et Cloudflare décrivent un impact de PHP 5.4 jusqu’aux derniers builds 8.5 avant le correctif. La FAQ de watchTowr antérieure à l’avis citait PHP 5, 7 et 8 dans leur ensemble. Expel indique que PHP n’a pas explicitement confirmé 7.3 et antérieures dans les éléments consultés. Cette ligne est une contradiction, pas une levée d’alerte. Ne laissez pas ces versions sur Internet.

Quelle version corrige PHP 5 à 8.1 ?

Aucune version officielle de PHP sur ces lignes. Les correctifs pris en charge sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Certains fournisseurs livrent leurs propres paquets : l’avis Linux de 宝塔 cite 7.4.34, 8.0.31 et 8.1.35, et ces numéros ne sont pas des versions du projet PHP.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  5. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  6. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  7. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  8. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  9. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  10. PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)