Bulletin d'alerte du CERT-FR Json Objet : Multiples vulnérabilités dans PHP Gestion du document Référence CERTFR-2026-ALE-014 Titre Multiples vulnérabilités dans PHP Date de la première version21 octobre 2026 Date de la dernière version21 octobre 2026 Source(s) Communication de PHP du 20 octobre 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risque Non spécifié par l'éditeur Systèmes affectés PHP toutes versions 5.x PHP toutes versions 6.x PHP toutes versions 7.x PHP toutes versions 8.x Résumé Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC).
Pour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l'éditeur n'assure plus le support, le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur. Contournement provisoire Ces contournements provisoires ne sont pas qualifiés par le CERT-FR : appliquer la configuration suivante dans le fichier php.ini : session.upload_progress.enabled = Off Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit : php_admin_flag[session.upload_progress.enabled] = off La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Il est à noter que cette mesure d'atténuation ne réduit la surface d'attaque que contre l'une des deux vulnérabilités. bloquer toutes requêtes HTTP dont l'en-tête contient un Content-Type positionné à la valeur multipart. Si le blocage ne peut être appliqué, il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête.
Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall). Documentation Communication de PHP du 20 octobre 2026 https://www.php.net/archive/2026.php#2026-10-20-1 Communication du CERT-EU https://cert.europa.eu/publications/security-advisories/2026-018/ Fiche réflexe : Compromission d'un équipement de bordure réseau - Endiguement https://cert.cyber.gouv.fr/fiche/CERTFR-2025-RFX-002/ Référence CVE CVE-2026-109618 https://www.cve.org/CVERecord?id=CVE-2026-109618 Référence CVE CVE-2026-109619 https://www.cve.org/CVERecord?id=CVE-2026-109619 Gestion détaillée du document Date Description 21 octobre 2026 Version initiale