ncsc-nl/php2shellRéférentiel d'avis opérationnels suivant les failles RCE PHP CVE-2026-109618 et CVE-2026-109619, avec des recommandations de détection et d'atténuation, des inventaires des logiciels affectés et des mises à jour du statut des fournisseurs.
Dernière modification significative des informations opérationnelles : 21 octobre 2026 17:25 CEST Dernière mise à jour du statut de la liste des logiciels : 22 octobre 2026 17:23 CEST TLP:CLEAR
Ce dépôt contient des informations opérationnelles concernant les vulnérabilités critiques de PHP suivies par le CERT-EU sous les identifiants CVE-2026-109618 et CVE-2026-109619.
PHP est un langage de script côté serveur open source largement utilisé ; ces vulnérabilités peuvent donc affecter un large éventail d'applications web exposées à Internet et de produits qui intègrent PHP ou en dépendent.
Le 21 octobre 2026, PHP a publié des versions corrigées pour CVE-2026-109618 et CVE-2026-109619 : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP indique que ces deux vulnérabilités peuvent permettre une exécution de code à distance non authentifiée et que toutes les installations PHP servant des requêtes web sont à risque, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. PHP considère le risque comme le plus élevé pour mod_php, où une requête non authentifiée peut déclencher l'exploitation avant l'exécution du code de l'application.
PHP décrit CVE-2026-109618 comme une exécution de code à distance via une corruption par épuisement de mémoire lors du nettoyage des requêtes, et CVE-2026-109619 comme une exécution de code à distance via un état global obsolète appartenant à une requête, réutilisé par une requête ultérieure sur le même worker. PHP 8.1 et les versions antérieures ne sont plus prises en charge par le projet PHP ; les distributions et les fournisseurs de versions LTS peuvent fournir des paquets rétroportés, et PHP a publié des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1.
L'impact ne se limite pas aux sites web : PHP est également intégré dans des appliances, des équipements réseau, des interfaces de gestion et d'autres produits de fournisseurs où les administrateurs peuvent ne pas être en mesure de mettre à jour PHP directement.
session.upload_progress, redémarrer les workers et consulter les recommandations officielles concernant memory_limit, post_max_size et fatal_error_backtraces de PHP 8.5. PHP précise que ces mesures ne constituent pas des correctifs complets.Pour plus d'informations, voir :
| Répertoire | Objectif |
|---|---|
| detection_mitigation | Contient le matériel de détection et d'atténuation pour les vulnérabilités. |
| software | Contient des listes d'inventaire des produits logiciels ayant une dépendance à PHP potentiellement affectée par les vulnérabilités. |
| tools | Contient des outils pour utiliser/générer les fichiers de ce dépôt |
Veuillez noter que ce dépôt n'est pas complet et est actuellement en cours d'extension.
| Date et heure | Fournisseur | Produit | Version (voir Statut) | Statut CVE-2026-109618 | Statut CVE-2026-109619 | Notes | Liens |
|---|---|---|---|---|---|---|---|
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiADC Manager | Investigation | Investigation | Évaluation CVE : Fortinet PSIRT FG-IR-26-186 classe le produit comme en cours d'investigation ; versions affectées/corrigées pas encore publiées L'avis Fortinet PSIRT FG-IR-26-186 classe FortiADC Manager comme en cours d'investigation pour CVE-2026-109618 et CVE-2026-109619. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiClient Cloud Services | Investigation | Investigation | Évaluation CVE : Fortinet PSIRT FG-IR-26-186 classe le produit comme en cours d'investigation ; versions affectées/corrigées pas encore publiées L'avis Fortinet PSIRT FG-IR-26-186 classe FortiClient Cloud Services comme en cours d'investigation pour CVE-2026-109618 et CVE-2026-109619. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS | Investigation | Investigation | Évaluation CVE : Fortinet PSIRT FG-IR-26-186 classe le produit comme en cours d'investigation ; versions affectées/corrigées pas encore publiées L'avis Fortinet PSIRT FG-IR-26-186 classe FortiDDoS comme en cours d'investigation pour CVE-2026-109618 et CVE-2026-109619. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS-F | Investigation | Investigation | Évaluation CVE : Fortinet PSIRT FG-IR-26-186 classe le produit comme en cours d'investigation ; versions affectées/corrigées pas encore publiées L'avis Fortinet PSIRT FG-IR-26-186 classe FortiDDoS-F comme en cours d'investigation pour CVE-2026-109618 et CVE-2026-109619. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiEndpoint | Investigation | Investigation | Évaluation CVE : Fortinet PSIRT FG-IR-26-186 classe le produit comme en cours d'investigation ; versions affectées/corrigées pas encore publiées L'avis Fortinet PSIRT FG-IR-26-186 classe FortiEndpoint comme en cours d'investigation pour CVE-2026-109618 et CVE-2026-109619. | source |
Consultez l'historique complet des mises à jour du statut des logiciels.
Si vous avez des informations supplémentaires à partager concernant ces vulnérabilités PHP, n'hésitez pas à ouvrir une Pull request. Vous débutez ? Découvrez comment contribuer dans la documentation de GitHub.
Pour les mises à jour de la liste des logiciels : nous préférons fortement recevoir les modifications dans les fichiers sources SPDX situés dans software/spdx/. Les pages Markdown de la liste sont générées automatiquement à partir de ces fichiers. Si cela s'avère trop difficile : ne vous inquiétez pas. Nous tenterons de reporter les modifications des fichiers .md vers les fichiers sources SPDX, mais sans aucune garantie.