Les mainteneurs de PHP ont annoncé deux correctifs d'urgence pour des vulnérabilités graves notées 9,2 sur 10. Les correctifs sont attendus dans les 12 heures et touchent toutes les versions PHP à partir de PHP 5. Les administrateurs de sites sont invités à préparer des mises à jour immédiates.
Ce correctif fait suite à une vidéo fuite montrant l'outil d'exploitation PHP2Shell ciblant des plateformes majeures notamment WordPress, Drupal et Magento. La société de sécurité watch Towr a confirmé les vulnérabilités, suivies sous les numéros CVE-2026-109618 et CVE-2026-109619, comme réelles. Les mainteneurs ont averti qu'ils pourraient publier des correctifs plus tôt si des détails d'exploitation émergent ou si des attaques actives sont détectées dans la nature.
Le rapport fuite prétendait que l'exploit fonctionne sur des applications web largement utilisées, notamment Joomla 6.2.0, Laravel 13.36.0 et WHMCS 9.0.9. Bien que la source d'origine n'ait pas pu être vérifiée, la confirmation de watch Towr a élevé l'urgence. Les organisations exécutant des systèmes basés sur PHP devraient évaluer leur exposition et appliquer les correctifs rapidement pour prévenir les violations potentielles.
Source: Ars Technica · Résumé par HeadlinesBriefing