La Fibre
Télécom => Logiciels et systèmes d'exploitation => 
Logiciels => Discussion démarrée par: butler_fr le 21 octobre 2026 à 15:05:28
-
a priori grosse faille sur php affectant toutes version depuis la v5 (autant dire toute)
ça serait déjà en cours d'exploitation avec des leaks avant la divulgation prévue à 16h
préparez vous à patcher vos serveurs pour ceux qui en ont
https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
https://www.php.net/archive/2026.php#2026-10-20-1
fix in version:
8.5.12
8.4.27
8.3.36
8.2.35
php-sury pour les vieilles version sur une debian12 (sur d'autres distrib le numéro exact peut changer):
8.1.34-9+0~20261021.82+debian12~1.gbp4e430a
7.4.33-31+0~20261021.121+debian12~1.gbpe9c428
7.3.33-35+0~20261021.144+debian12~1.gbpecf76f
7.2.34-66+0~20261021.122+debian12~1.gbpe0bcd4
7.1.33-80+0~20261021.127+debian12~1.gbp7a3318
7.0.33-92+0~20261021.118+debian12~1.gbpdbe680
5.6.40-104+0~20261021.134+debian12~1.gbp7401dd
-
Merci pour l'alerte !
Entre autres, le site de la Cnil est indisponible : https://www.frandroid.com/culture-tech/web/3294239_cnil-deviantart-obs-des-sites-ferment-a-cause-des-failles-php
Next aussi : https://next.ink/262987/php-va-corriger-deux-vulnerabilites-critiques-aujourdhui/
Je vois que mon hébergeur mutualisé a déjà mis session.upload_progress.enabled = Off (https://www.cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/) ce matin, j'espère qu'ils vont être réactifs pour le reste.
-
lafibre.info ne se laisse pas impressionner ;D
-
Lien vers l'alerte du CERT : https://cert.europa.eu/publications/security-advisories/2026-018
Les mises à jour pour toutes les versions d'Ubuntu ont été diffusées le 19 octobre : https://ubuntu.com/security/notices/USN-8936-1
-
t'es sur vivien ? pour l'instant je n'ai rien vu passer encore en patch
debian c'est pas proposé encore (testé à l'instant)
les repo vont subir un petit stress test d'ici quelques minutes
-
Ubuntu cite d'autres CVE, donc soit ils ont volontairement omis des informations en attendant que les détails soient publics, soit c'est juste une coïncidence d'avoir une mise à jour de sécurité 2 jours avant l'annonce d'une faille critique.
-
Le patch arrive officiellement à 16h. Je ne pense pas qu'un patch ait déjà été publié pour Ubuntu (ou n'importe quelle distrib): https://ubuntu.com/security/CVE-2026-109618*
Edit : ah, un fix vient d'arriver sur Debian à l'instant (8.4.27-1~deb13u1), pas certain de ce qu'il contient
-
à priori ils sont dispos pour Debian, j'ai 13 packages à mettre à jour
-
pas pour debian12 en tout cas
8.2.34-1~deb12u1
alors que la version cible est la 8.2.35
version patchées:
8.5.12
8.4.27
8.3.36
8.2.35
-
je viens de passer en:
8.4.27-1~deb13u1
-
"patch" temporaire en attendant les packages :
https://www.it-connect.fr/php-failles-critiques-rce-cve-2026-109618-cve-2026-109619/
passez la directive session.upload_progress.enabled à Off
sinon rien de nouveau de mon coté, je suis toujours en 8.2.34 sur une debian 12
-
t'es sur vivien ? pour l'instant je n'ai rien vu passer encore en patch
debian c'est pas proposé encore (testé à l'instant)
les repo vont subir un petit stress test d'ici quelques minutes
Le patch arrive officiellement à 16h. Je ne pense pas qu'un patch ait déjà été publié pour Ubuntu (ou n'importe quelle distrib): https://ubuntu.com/security/CVE-2026-109618*
Désolé, j'ai vu une mise à jour PHP le 19/10, j'ai pensé que c'était lié à la même CVE, mais non.
Habituellement les équipes sécurité des grandes distributions ont les correctifs un peu avant la divulgation (sous NDA), afin de préparer leur patch.
-
Confirmation par Next (https://next.ink/262987/php-va-corriger-deux-vulnerabilites-critiques-aujourdhui/) de la mise à dispo des correctifs.
-
un apt update && apt upgrade ne me remonte toujours rien...Pourtant je suis avec les dépots d'origine...
root@xxxxxx:~# cat /etc/apt/sources.list
# Dépôts principaux Debian 12 (Bookworm)
deb http://deb.debian.org/debian bookworm main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian bookworm main contrib non-free non-free-firmware
# Mises à jour de sécurité
deb http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb-src http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
# Mises à jour stables (corrections de bugs)
deb http://deb.debian.org/debian bookworm-updates main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian bookworm-updates main contrib non-free non-free-firmware
# (Optionnel) Backports : versions plus récentes de certains paquets
#deb http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
#deb-src http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmwareroot
-
C'est en train d'arriver : https://security.debian.org/debian-security/pool/updates/main/p/php8.2/?C=M;O=D
On voit qu'il y a déjà des bouts de 8.2.35
-
je viens de rajouter les versions patchée coté php-sury dans mon message initial (pour les vieilles version de php)
-
Les correctifs sont effectivement disponibles.
- Ubuntu 22.04 LTS : fixé avec PHP 8.1.2-1ubuntu2.28
- Ubuntu 24.04 LTS : fixé avec PHP 8.3.6-0ubuntu0.24.04.13
- Ubuntu 26.04 LTS : fixé avec PHP 8.5.4-0ubuntu1.5
- Ubuntu 26.10 LTS : fixé avec PHP 8.5.9-0ubuntu2.1
Ubuntu 24.04 LTS avant la mise à jour :
$ apt list -a --installed php8.3-fpm
En train de lister... Fait
php8.3-fpm/noble-security 8.3.6-0ubuntu0.24.04.13 amd64 [pouvant être mis à jour depuis : 8.3.6-0ubuntu0.24.04.12]
php8.3-fpm/noble-updates,now 8.3.6-0ubuntu0.24.04.12 amd64 [installé, pouvant être mis à jour vers : 8.3.6-0ubuntu0.24.04.13]
php8.3-fpm/noble 8.3.6-0maysync1 amd64
Après la mise à jour :
$ apt list -a --installed php8.3-fpm
En train de lister... Fait
php8.3-fpm/noble-security,now 8.3.6-0ubuntu0.24.04.13 amd64 [installé, automatique]
php8.3-fpm/noble-updates 8.3.6-0ubuntu0.24.04.12 amd64
php8.3-fpm/noble 8.3.6-0maysync1 amd64