Failles PHP
Deux failles de sécurité critiques dans PHP, corrigées le 21 octobre 2026. Vous trouverez ici leur analyse, les versions corrigées et les sources.
Selon les bulletins du projet PHP, les deux failles concernent les branches 8.2, 8.3, 8.4 et 8.5. Le projet PHP les classe toutes deux comme critiques et désigne la mise à jour vers une version corrigée comme seule solution complète. Cette page ne décrit volontairement les failles que de manière générale.
Exécution de code après un arrêt pour mémoire insuffisante (OOM)
En cas de mémoire insuffisante, PHP pouvait laisser une requête dans un état partiellement initialisé, qui était ensuite traité lors du nettoyage (use-after-free). Selon le bulletin, une exécution de code à distance et sans authentification est possible.
Exécution de code due à un état global obsolète
Dans les processus workers de longue durée, l’état global propre à une requête n’était pas réinitialisé avant la libération de la mémoire de cette requête (use-after-free). Une requête ultérieure adressée au même worker pouvait y accéder.
| Branche | Correctif inclus |
|---|---|
| PHP 8.2 | à partir de 8.2.35 |
| PHP 8.3 | à partir de 8.3.36 |
| PHP 8.4 | à partir de 8.4.27 |
| PHP 8.5 | à partir de 8.5.12 |
La comparaison se fait toujours au sein de la branche concernée : 8.3.35 est inférieure à la version corrigée, 8.4.27 l’atteint. Une valeur minimale globale unique serait erronée.
PHP 8.1 et les branches plus anciennes ne reçoivent plus de mises à jour du projet PHP. Selon php.net, PHP 8.2 arrive en fin de support le 31/12/2026.
Les bulletins décrivent des effets sur plusieurs interfaces serveur, dont le module Apache, PHP-FPM, LSAPI et FrankenPHP – avec des vecteurs d’attaque confirmés à des degrés divers. PHP-FPM n’est donc pas exclu d’office. Mettez à jour tous les environnements PHP qui exécutent votre site et redémarrez-les après la mise à jour.
Les distributions peuvent intégrer des correctifs dans d’anciennes versions de paquets. Seul le bulletin de sécurité du fournisseur concerné, pour cette version de paquet précise et les deux identifiants CVE, permet d’établir si c’est le cas pour votre paquet. Tant qu’une telle preuve n’existe pas, PHP Checker classe les anciennes versions de base avec révision du fournisseur en « Vérification auprès du fournisseur requise ».
Mettre à jour PHP – étape par étape
Référence : vérifiée le 21 octobre 2026 · version des données 2026-10-21.1. La référence n’est mise à jour qu’après une vérification effective des sources.