Un panneau orange de maintenance entre dans un serveur argenté

PHP corrige deux failles critiques RCE et appelle à mettre à jour les serveurs web

Mis à jour le 23/10/2026 02:49:19

PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques. Les mesures temporaires ne suppriment pas tout le risque.

PHP a publié le 21 octobre 2026 des correctifs pour CVE-2026-109618 et CVE-2026-109619, permettant potentiellement une exécution distante sans authentification. Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Suivez OrangeX.com Security.

Installations servant le web

L’avis couvre PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. mod_php présente le risque le plus élevé, avec une attaque démontrée avant le code applicatif.

Selon PHP, la mise à jour est la solution complète ; les mesures temporaires réduisent seulement certains chemins. Les utilisateurs de paquets doivent vérifier les correctifs du fournisseur. Les anciennes branches nécessitent son soutien ou une migration vers une version prise en charge. Plus dans OrangeX.com News.

OrangeX.com Analysis

Les entreprises crypto utilisant PHP affecté doivent examiner leur infrastructure web. L’avis ne prouve aucune intrusion dans une plateforme, un portefeuille ou une chaîne précise. Un correctif publié ne prouve pas son installation partout. Ressources dans OrangeX.com Trust Center.