⚠ Alerte de sécurité critique — Mise à jour PHP requise immédiatement
HOSS TUNISIE
hoss.tn — Sécurité & Infrastructure
Avis de sécurité — Vulnérabilités critiques

Exécution de code à distance dans PHP : CVE-2026-109618 & CVE-2026-109619

Deux vulnérabilités critiques affectant le cœur de PHP permettent à un attaquant non authentifié d'exécuter du code à distance (RCE). Toutes les versions de PHP antérieures aux correctifs publiés le 21 octobre 2026 sont concernées. Une mise à jour immédiate est fortement recommandée.

Éditeur : HOSS TUNISIE — Hammami TAHA Publié le : 21 octobre 2026 Dernière mise à jour : — Sévérité : Critique (CVSS 9.2)
🛠️

Maintenance de sécurité en cours

Temporairement, il se peut que vous trouviez vos sites en HS (hors service). Il ne s'agit que de mesures de sécurité prises pour protéger vos données et votre infrastructure face à cette vulnérabilité critique. Les services seront rétablis progressivement dès que les correctifs auront été appliqués et vérifiés. Merci de votre compréhension.

Détail des vulnérabilités

Deux failles liées, situées dans la gestion mémoire et la gestion des erreurs de PHP.

Vérification des informations officielles…

CVE-2026-109618

GHSA-w8hw-w9fx-j79w

9.2Critique
RCE — corruption mémoire à l'OOM

Lorsqu'une requête atteint la limite memory_limit au mauvais moment, PHP peut laisser des données internes partiellement initialisées, puis les traiter comme valides. Sur Apache avec mod_php, une requête non authentifiée peut déclencher la faille avant même l'exécution du code applicatif. L'exécution de code à distance a été démontrée avec la configuration par défaut, ainsi que via PHP-FPM sur certains chemins applicatifs.

CVE-2026-109619

GHSA-6wmf-4rv5-p3rp

9.2Critique
RCE — état global obsolète

Une erreur fatale survenant au mauvais moment peut laisser l'état interne pointer vers de la mémoire appartenant à une requête précédente. Une requête ultérieure traitée par le même worker peut alors utiliser cette mémoire libérée (use-after-free). Un crash de worker et l'exécution de code à distance ont été confirmés sur une application réelle sous Apache avec mod_php.

Actualités : attaque PHP et suivi de la faille

Chronologie des alertes et des correctifs liés à CVE-2026-109618 et CVE-2026-109619.

Mise à jour automatique
  1. Alerte anticipée sur les réseaux et forums

    Les identifiants CVE-2026-109618 et CVE-2026-109619 commencent à circuler. Le projet PHP avance la publication de son avis de sécurité.

  2. Correctifs officiels publiés

    PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent les deux vulnérabilités critiques d'exécution de code à distance.

  3. Alertes internationales

    CERT-EU, le NCSC britannique et Google Cloud publient leurs recommandations et appellent à une mise à jour immédiate.

  4. Risque d'exploitation accru

    Des preuves de concept commencent à circuler. HOSS TUNISIE applique des mesures de sécurité préventives sur les sites hébergés.

  5. Suivi et mise à jour de cet avis

    Cette page vérifie automatiquement les informations officielles toutes les 5 minutes et sera actualisée à chaque nouvelle information.

Versions affectées et versions corrigées

BrancheAffectéeCorrigéeStatut
PHP 8.58.5.0 – 8.5.118.5.12Corrigé
PHP 8.48.4.0 – 8.4.268.4.27Corrigé
PHP 8.38.3.0 – 8.3.358.3.36Corrigé
PHP 8.28.2.0 – 8.2.348.2.35Corrigé
PHP 8.1 et antérieuresToutes les versionsAucun correctif officielFin de vie

Les versions 5.4 à 8.5.11 sont vulnérables. Les branches en fin de vie (8.1 et antérieures) ne reçoivent plus de correctifs du projet PHP : une migration vers PHP 8.2 ou supérieur est requise.

Signaux d'alerte

  • Workers PHP ou Apache qui crashnt ou redémarrent de façon anormale.
  • Consommation mémoire inhabituelle ou saturation soudaine.
  • Requêtes HTTP volumineuses ou malformées ciblant les uploads et les corps de requête.
  • Apparition de fichiers ou processus inconnus sur le serveur.
  • Activité réseau sortante non expliquée depuis le serveur web.

En cas de doute, considérez le système comme potentiellement compromis et contactez-nous avant toute manipulation.

Recommandations et mesures temporaires

Seule une mise à jour complète élimine la vulnérabilité. Les mesures ci-dessous réduisent l'exposition.

Actions prioritaires

  • Mettre à jour PHP vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon votre branche.
  • Prioriser les systèmes exposés à Internet, puis les systèmes internes.
  • Mettre à jour les paquets de la distribution ou contacter votre fournisseur LTS.
  • Rechercher les logiciels tiers embarquant PHP (CMS, appliances, conteneurs).
  • Vérifier l'intégrité du système et la présence éventuelle de portes dérobées.
  • Surveiller en continu les avis de sécurité et les nouvelles informations.

Atténuations temporaires

  • Réduire post_max_size (8 Mo sans upload, 32 Mo si nécessaire) et garder upload_max_filesize inférieur.
  • Imposer memory_limit=-1 via php_admin_value (FPM/Apache), en vérifiant qu'aucune configuration applicative ne le réintroduit.
  • Limiter au niveau proxy la taille des requêtes, le nombre de champs, de parties multipart et d'en-têtes.
  • Utiliser des limites conteneur/cgroup comme frontière de disponibilité, sans RLIMIT_AS ni RLIMIT_DATA.
  • Si aucune mitigation n'est possible : isoler ou mettre hors ligne le système jusqu'à correction.
NVD — CVE-2026-109618 NVD — CVE-2026-109619 CERT-EU — Avis 2026-018 PHP Foundation NCSC — Avis PHP

Questions fréquentes sur la faille PHP

Ce qu'il faut savoir sur CVE-2026-109618, CVE-2026-109619 et la mise à jour de vos sites.

Qu'est-ce que CVE-2026-109618 et CVE-2026-109619 ?

Ce sont deux vulnérabilités critiques du cœur de PHP, liées à la gestion mémoire et à l'état global des requêtes. Elles permettent à un attaquant non authentifié d'exécuter du code à distance (RCE) sur le serveur, avec un score CVSS de 9.2. Une attaque PHP réussie peut mener au vol de données, à la modification de fichiers ou à la prise de contrôle du serveur.

Quelles versions de PHP sont vulnérables ?

Toutes les versions de PHP 5.4 à 8.5.11 sont concernées. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches PHP 8.1 et antérieures sont en fin de vie et ne reçoivent plus de correctif officiel : une migration vers PHP 8.2 ou supérieur est nécessaire.

Comment corriger la faille PHP sur mon site ?

Mettez à jour PHP vers la dernière version corrigée de votre branche, ainsi que les paquets fournis par votre distribution ou votre hébergeur. Si la mise à jour immédiate est impossible, appliquez les atténuations temporaires (réduction de post_max_size, memory_limit=-1, limitation des requêtes au niveau proxy) ou isolez le service. HOSS TUNISIE peut réaliser l'audit et la mise à jour pour vous.

Pourquoi mon site est-il temporairement hors service (HS) ?

Il s'agit de mesures de sécurité préventives prises le temps d'appliquer et de vérifier les correctifs sur les serveurs concernés. Aucune action n'est requise de votre part et les services seront rétablis progressivement. Cette interruption temporaire vise à protéger vos données et votre infrastructure contre une exploitation de la faille.

Comment contacter HOSS TUNISIE pour une assistance ?

Appelez-nous ou écrivez-nous sur WhatsApp au +216 55 296 200, ou par e-mail à contact@hoss.tn. Notre équipe vous accompagne pour vérifier votre version de PHP, sécuriser vos sites et surveiller toute activité suspecte.

Besoin d'assistance ?

Pour toute question, signalement ou demande d'intervention concernant CVE-2026-109618 et CVE-2026-109619, contactez l'équipe HOSS TUNISIE. Notre équipe vous accompagne dans la mise à jour, la vérification et la sécurisation de vos systèmes.

Téléphone / WhatsApp : +216 55 296 200  ·  E-mail : contact@hoss.tn  ·  Site : hoss.tn

📞 +216 55 296 200 WhatsApp ✉ contact@hoss.tn
Continuer vers le site HOSS