Plus tôt aujourd'hui, le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces versions corrigent deux vulnérabilités critiques qui, dans les bonnes conditions, permettent à un attaquant non authentifié d'exécuter du code sur les serveurs faisant tourner PHP. Toute personne utilisant PHP est invitée à mettre à jour immédiatement. L'annonce officielle sur php.net contient les détails techniques et les instructions de mise à jour.
La première faille, CVE-2026-109618, concerne les situations de mémoire insuffisante (OOM). Si une requête atteint la limite memory_limit de PHP au pire moment, PHP peut laisser des données internes partiellement initialisées, ensuite traitées comme valides, corrompant la mémoire. Sur Apache avec mod_php, une requête non authentifiée peut déclencher cela avant l'exécution de tout code applicatif, et une exécution de code à distance complète a été démontrée avec les paramètres par défaut. La seconde, CVE-2026-109619, est un problème d'état obsolète : une erreur fatale peut laisser l'état interne pointer vers la mémoire d'une requête précédente, permettant une utilisation après libération (use-after-free), démontrée sur une application réelle.
Ces deux problèmes touchent des zones centrales de PHP que presque chaque requête utilise : la gestion de la mémoire et la gestion des erreurs. Ce rôle central les rendait graves, mais aussi difficiles à corriger sans rompre la compatibilité, nuire aux performances ou imposer des changements à l'important écosystème d'extensions tierces.
Le problème OOM a d'abord été repéré lors d'un audit de sécurité externe en 2024, financé par la PHP Foundation et réalisé par Quarkslab. Sa correction a stagné pendant des mois, l'équipe de sécurité pesant des approches concurrentes, chacune avec ses compromis. L'équipe reconnaît que ce retard était une défaillance structurelle et modifie son processus décisionnel, notamment par un vote à la majorité. En mai 2026, la PHP Foundation a également créé une Ecosystem Security Team pour soutenir le tri, la coordination et le renforcement.
Source: Hacker News · Résumé par HeadlinesBriefing