Ce mail provient de l'extérieur, restons vigilants

===================================================================== 


CERT-Renater 

Bulletin d'Alerte No. 2026/ALER001.1 
_____________________________________________________________________ 

Correctifs d'urgence pour deux failles critiques notées 9,2 sur 10 


PHP a publié des correctifs de sécurité permettant de combler 
des failles de sécurité critiques regroupées sous l'appellation 
PHP2Shell : CVE-2026-109618 et CVE-2026-109619, avec un score 
CVSS v4.0 9.2 sur 10. 

Ces 2 failles de sécurité pourraient être utilisées par des attaquants 
pour provoquer à distance l'exécution de code arbitraire et la 
compromission de services vulnérables. 

Toutes les installations PHP traitant des requêtes web, notamment PHP-FPM, 
Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed sont concernées. 

Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 contiennent des correctifs 
pour ces failles. 

Les distributions Linux et les fournisseurs LTS ont reçu les correctifs 
en avance et travaillent, si ce n'est pas déjà disponible, à les 
intégrer à leurs logiciels. 

Il est recommandé de mettre au plus vite hors ligne tout serveur non mis à jour 
avec ces correctifs s'ils sont exposés sur internet et utilisant PHP, 
quelle qu’en soit la version. 

Apparemment des attaques seraient déjà observées : 
https://x.com/dok2001/status/2112811965735202970?s=46&t=aqRCUtFE8OnUPSWxEHt-PQ 

Les serveurs bénéficiant d’une mise à jour pourront être remis en ligne 
après application de celle-ci et des recommandations du bulletin d’alerte 
de PHP. 

Les autres serveurs devront préalablement faire l’objet d’une montée vers 
une version maintenue correctement mise à jour et rester isolés en attendant. 


Références : 


Security advisory: Critical remote code execution vulnerabilities, update now : 
[ https://www.php.net/archive/2026.php#2026-10-20-1 | https://www.php.net/archive/2026.php#2026-10-20-1 ] 

Critical Vulnerabilities in PHP : 
[ https://cert.europa.eu/publications/security-advisories/2026-018/ | https://cert.europa.eu/publications/security-advisories/2026-018/ ] 
Linux : 
[ https://ubuntu.com/security/CVE-2026-109618 | https://ubuntu.com/security/CVE-2026-109618 ] 
[ https://ubuntu.com/security/CVE-2026-109619 | https://ubuntu.com/security/CVE-2026-109619 ] 
[ https://security-tracker.debian.org/tracker/CVE-2026-109619 | https://security-tracker.debian.org/tracker/CVE-2026-109619 ] 
[ https://security-tracker.debian.org/tracker/CVE-2026-109618 | https://security-tracker.debian.org/tracker/CVE-2026-109618 ] 
[ https://bugzilla.redhat.com/show_bug.cgi?id=2556842 | https://bugzilla.redhat.com/show_bug.cgi?id=2556842 ] 
[ https://access.redhat.com/errata/RHSA-2026:87072 | https://access.redhat.com/errata/RHSA-2026:87072 ] 
[ https://almalinux.org/blog/2026-10-21-php2shell-cve-2026-109618-cve-2026-109619/ | https://almalinux.org/blog/2026-10-21-php2shell-cve-2026-109618-cve-2026-109619/ ] 
[ https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619?hl=en | https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619?hl=en ] 

Critical PHP Vulnerability (CVE-2026-109618, CVE-2026-109619) 
[ https://isc.sans.edu/diary/Critical+PHP+Vulnerability+CVE2026109618+CVE2026109619+infocon+yellow/33440/ | https://isc.sans.edu/diary/Critical+PHP+Vulnerability+CVE2026109618+CVE2026109619+infocon+yellow/33440/ ]