TECHNOLOGIE · FOCUS
PHP : des correctifs sources disponibles pour des failles critiques
Ars Technica rapporte la disponibilité de correctifs sources pour des vulnérabilités PHP jugées critiques. La diffusion des paquets a commencé, selon sa mise à jour. Les administrateurs sont invités à préparer leurs mises à niveau, tandis que plusieurs détails techniques restent non confirmés.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Des correctifs sources ont été ajoutés au dépôt php-src sur GitHub à 13:34 UTC, selon une mise à jour d’Ars Technica. Le média indique que les paquets et les images Docker commencent à être diffusés à partir de ces sources. Cette évolution actualise l’alerte initiale, qui annonçait encore une publication imminente.
Les mainteneurs de PHP avaient annoncé des correctifs pour des vulnérabilités toutes deux notées 9,2 sur 10. Ars Technica rapporte les identifiants CVE-2026-109618 et CVE-2026-109619, dont la réalité a été confirmée par l’entreprise de sécurité watchTowr. En revanche, les détails ayant circulé avant la publication des correctifs étaient encore présentés comme non confirmés. Ils ne permettent pas d’affirmer que toutes les installations sont exposées de manière identique.
Pour les organisations, la préparation décrite consiste à identifier les responsables de PHP, inventorier les applications concernées, prévoir une maintenance et sauvegarder les fichiers des sites et des bases de données. La disponibilité des sources ne suffit pas, à elle seule, à établir que chaque environnement dispose déjà du paquet adapté.
L’enjeu immédiat reste donc de suivre la disponibilité des mises à jour et de les appliquer dès que possible. L’article ne documente pas de campagne d’exploitation active : les anticipations d’attaques formulées par des sociétés de sécurité doivent rester distinguées d’attaques effectivement observées.