Travaux et Informations

ALERTE CRITIQUE PHP – INTERVENTION IMMÉDIATE

Date : 21 Octobre 2026

Émetteur : Équipe Infogérance NFrance

ACTION PRÉVENTIVE & CORRECTIVE D'URGENCE

Deux vulnérabilités critiques zero-day (CVSS 9.2) impactant le moteur PHP sont divulguées ce jour. Afin d'assurer la protection de vos applications, NFrance interviendra au plus tôt sur l'ensemble de son parc infogéré soit pour patcher php soit pour appliquer des mitigations.

L'équipe de sécurité PHP a annoncé la publication urgente d'un correctif de sécurité traitant deux failles critiques (CVE-2026-109618 et CVE-2026-109619). Ces vulnérabilités permettent potentiellement une exécution de code à distance (RCE) sans authentification préalable. La particularité de cette alerte réside dans le fait que la faille se situe directement dans le moteur de PHP (gestion des processus de transfert de fichiers / session upload progress), avant toute exécution du code applicatif. Tous les sites web et services s'appuyant sur PHP sont donc potentiellement exposés, indépendamment de leur code interne.

En attendant le patch les actions suivantes pourront être prises sans prévenance préalable :

* Mise à jour de php
* Désactivation de l'upload_progress
* Scan de vulnérabilité et suppression de fichiers