Résumé
CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10, permettent d’exécuter du code à distance sur un serveur PHP, sans authentification. Leur chronologie me sert à distinguer trois étapes que l’on confond souvent: trouver un défaut, comprendre comment l’exploiter, démontrer l’attaque. Selon SentinelOne, un audit de 2024 avait repéré une faiblesse dans la gestion du manque de mémoire, sans parvenir à prouver qu’elle était exploitable. En août 2026, le laboratoire de sécurité Calif, avec un modèle d’OpenAI, a trouvé un chemin d’exploitation jusqu’à l’exécution de code; Wiz Research a découvert les mêmes failles de son côté quelques semaines plus tard. Une fuite a ensuite avancé la publication du correctif, sorti le 21 octobre. L’article se termine par ce qu’il faut mettre à jour, la façon de couvrir les versions que PHP ne maintient plus, et les mesures temporaires qui réduisent l’exposition sans rendre un serveur sûr.
Idées clés
- Observer un comportement dangereux dans le code ne veut pas dire savoir le transformer en compromission: l’audit de 2024 s’est arrêté à cette première étape.
- L’IA a raccourci le chemin de l’hypothèse à l’exploit démontré, mais elle n’a remplacé ni les tests, ni la coordination, ni la validation du correctif.
- Le danger est venu de deux défauts combinés: une corruption lors d’un manque de mémoire, et l’état d’une requête réutilisé après la libération de sa mémoire.
- L’absence d’exploit connu n’est pas une garantie de sécurité durable: les failles touchent PHP depuis la version 5.4, et une méthode nouvelle peut vite changer l’évaluation du risque d’une faille ancienne.
- Trouver la faille n’est qu’une partie du travail: il faut aussi coordonner la divulgation, préparer les correctifs, informer les utilisateurs et limiter l’exploitation en attendant, même quand une fuite impose le calendrier.
Pourquoi j’ai écrit cet article
Une vulnérabilité n’est pas forcément nouvelle quand elle devient critique; c’est parfois notre capacité à en comprendre les conséquences qui a changé. Pour les organisations qui utilisent PHP, la priorité est de vérifier les versions réellement déployées, d’appliquer les correctifs officiels et d’évaluer ce qui est exposé en production.