URL:     https://linuxfr.org/users/sebastienb/journaux/failles-de-securite-dans-php-correctifs-a-16h-paris
Title:   Failles de sécurité dans PHP, correctifs à 16H (Paris)
Authors: Sébastien B.
Date:    2026-10-21T13:26:49+02:00
License: CC By-SA
Tags:    php
Score:   9


Bonjour !
J'ai vu qu'il y avait déjà un lien [sur le sujet](https://linuxfr.org/users/nud/liens/php-avertit-qu-ils-prevoient-de-publier-2-patches-urgents-de-facon-imminente), je me suis dit que j'allais rédiger un journal pour donner plus de visibilité à l'évènement.

L'équipe derrière PHP a annoncé la publication très prochaine de [deux correctifs](https://www.php.net/archive/2026.php#2026-10-20-1) pour des failles de sécurité critiques qui permettraient à un assaillant d'exécuter du code à distance sur un serveur faisant tourner PHP. Il suffirait d'un accès à un site exécutant du PHP pour déclencher la faille (donc même une application qui demande une authentification pour être utilisée peut être sensible).

Il y a beaucoup de discussions et de rumeurs sur le sujet (Si ça vous intéresse, vous les retrouverez sur [Hacker News](https://news.ycombinator.com/item?id=50172041) ) mais la situation a l'air grave, plusieurs personnes conseillent de désactiver tous les services PHP accessibles depuis l'extérieur si c'est possible ( ex: [Dokuwiki](https://mamot.fr/@dokuwiki@phpc.social/117477237702321354), [OSM France](https://mamot.fr/@osm_fr@fr.osm.social/117478162685581809) et [Codeberg](https://mamot.fr/@codebergstatus@social.anoxinon.de/117475253332069178) ont désactivé des services en PHP en attendant la mise à jour).

Certaines contre mesure circulent mais [d'après un mainteneur PHP](https://phpc.social/@Girgias/117476477429221001), la seule solution pour être protégé, c'est de mettre à jour.

Un POC circule (vraisemblablement quelqu'un qui a demandé à un LLM de trouver une faille une fois qu'il y a eu l'annonce des patchs), mais on ne sait pas si il couvre réellement les deux failles corrigées. D'après Cloudflare, la/les faille serait activement exploitée. 

Si vous avez besoin de sources un peu plus institutionnelles que Mastodon pour convaincre un décideur pressé qu'il faut couper tous vos services en PHP, voici un lien de [Cert Europa.eu](https://cert.europa.eu/publications/security-advisories/2026-018) et un lien vers [Next](https://next.ink/262987/php-va-corriger-deux-vulnerabilites-critiques-aujourdhui/).

Bref, si vous avez des services perso qui tourne avec du PHP, n'oubliez pas de les couper au cas où si c'est envisageable.