PHP publie des correctifs d’urgence pour deux failles RCE critiques exploitées avant leur divulgation

Le projet PHP a publié des correctifs de sécurité d’urgence le 21 octobre 2026 pour corriger deux vulnérabilités critiques d’exécution de code à distance sans authentification, mais les attaquants les exploitaient déjà depuis le 17 octobre, quatre jours avant l’arrivée des correctifs. L’Agence de sécurité nationale américaine a conseillé aux organisations utilisant PHP de mettre à jour immédiatement ou de déconnecter les systèmes affectés.

Les deux failles ont un score CVSS v4.0 de 9.2. Des sites gouvernementaux, des écoles et des hôpitaux du monde entier se sont mis hors ligne pendant les opérations de correction d’urgence, selon Reuters. Des experts en sécurité ont comparé la portée à la crise Heartbleed de 2014, indiquant qu’elle la dépasse sous certains aspects.

Nature des vulnérabilités

CVE-2026-109618 est un bug de corruption mémoire lié à l’épuisement de mémoire. Si une requête PHP atteint la limite mémoire au mauvais moment, l’environnement d’exécution peut laisser des données partiellement initialisées que PHP traite ensuite comme valides. Sur Apache avec mod_php, un attaquant non authentifié peut le déclencher avant même l’exécution du code applicatif, et une exécution de code complète a été démontrée avec des configurations par défaut.

CVE-2026-109619 exploite un état global périmé. Une erreur fatale au mauvais moment peut laisser l’état interne de PHP pointer vers la mémoire d’une requête précédente, permettant à une requête ultérieure sur le même processus worker d’exploiter ce pointeur périmé, menant à un use-after-free et à une exécution de code confirmée.

Les outils d’IA ont trouvé les failles ; la fuite d’embargo a accéléré la crise

Plusieurs équipes de recherche ont identifié la cause racine indépendamment dès août 2026. Alpha-Omega avait analysé PHP avec Claude Mythos d’Anthropic. Des participants au programme Patch the Planet d’OpenAI ont soumis le premier rapport RCE complet le 11 août. Le 20 octobre, les CVE et un score CVSS incorrect de 10.0 ont fuité en ligne. Le chercheur Calif a ensuite publié accidentellement une vidéo de preuve de concept fonctionnelle. Le lendemain matin, Chainguard a rompu l’embargo en publiant des images Docker corrigées plus de six heures avant. Les analystes d’AWS ont confirmé à Wired que l’exploitation avait commencé le 17 octobre.

La correction a pris des mois, et c’était l’échec réel

PHP Foundation a reconnu que la cause racine avait été identifiée en 2024 mais que le correctif avait été retardé des mois en raison de désaccords sur les compromis d’implémentation. La Foundation a qualifié cela d’« échec structurel » et a annoncé une nouvelle équipe de sécurité, des recrutements supplémentaires et une réforme des processus décisionnels.