Une nouvelle vulnérabilité dans « PHP »

Black computer keyboard showing numeric keypad — Haberdoedas / Unsplash

Une nouvelle vulnérabilité a été confirmée dans le langage de programmation « PHP ». Contrairement aux deux vulnérabilités précédemment signalées, qui étaient considérées comme graves, celle-ci concerne un environnement limité et devrait être corrigée dans une mise à jour future.

L'équipe de développement a publié un avis le 23 octobre 2026, révélant la vulnérabilité identifiée sous le code « CVE-2026-115560 ».

Pour « PHP », des mises à jour avaient été publiées le 21 octobre pour corriger les vulnérabilités graves « CVE-2026-109618 » et « CVE-2026-109619 », mais la vulnérabilité récemment identifiée est différente de celles-ci.

Il s'agit d'un problème lié à la fonction de suivi de l'état de téléchargement de fichiers, qui pourrait permettre l'exécution de code à distance si certaines configurations et le traitement d'applications se combinent.

Aucun correctif n'était disponible au moment de la publication de l'avis. L'équipe de développement a indiqué que plusieurs conditions devaient se cumuler pour que l'environnement soit exploitable, et a décidé de procéder à la correction dans le cadre du cycle de publication habituel.

En attendant la mise à jour qui corrigera cette vulnérabilité, des mesures de mitigation pour désactiver les fonctionnalités concernées ont été recommandées.