Des vulnérabilités critiques de PHP exploitées dans des cyberattaques réelles

Deux vulnérabilités critiques du langage de programmation PHP sont actuellement exploitées dans de véritables cyberattaques. Ces failles permettent l'exécution de code malveillant sur les serveurs vulnérables. Le chercheur en sécurité Adel Karimi, de Perplexity, a d'abord détecté ces menaces à l'aide de honeypots. Il a documenté une attaque réussie contre un serveur Apache exécutant PHP 8.4.26. Marcus Hutchins, chercheur chez Expel, a confirmé ces observations.

Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 ont été corrigées par des mises à jour de sécurité urgentes le 21 octobre. Cependant, une autre faille, CVE-2026-115560, reste sans correctif. Elle ne menace que les systèmes avec une configuration spécifique. Les administrateurs sont invités à désactiver la fonction session.upload_progress.enabled.