Auteur Sujet: PHP - CVE-2026-109618 / CVE-2026-109619 (Lu 331 fois)

butler_fr · « **le:** **Aujourd'hui** à 15:05:28 »

a priori grosse faille sur php affectant toutes version depuis la v5 (autant dire toute)
ça serait déjà en cours d'exploitation avec des leaks avant la divulgation prévue à 16h
préparez vous à patcher vos serveurs pour ceux qui en ont

https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote

https://www.php.net/archive/2026.php#2026-10-20-1

fix in version:
8.5.12
8.4.27
8.3.36
8.2.35

php-sury pour les vieilles version sur une debian12 (sur d'autres distrib le numéro exact peut changer):
8.1.34-9+0~20261021.82+debian12~1.gbp4e430a
7.4.33-31+0~20261021.121+debian12~1.gbpe9c428
7.3.33-35+0~20261021.144+debian12~1.gbpecf76f
7.2.34-66+0~20261021.122+debian12~1.gbpe0bcd4
7.1.33-80+0~20261021.127+debian12~1.gbp7a3318
7.0.33-92+0~20261021.118+debian12~1.gbpdbe680
5.6.40-104+0~20261021.134+debian12~1.gbp7401dd

timpera · « **Réponse #1 le:** **Aujourd'hui** à 15:20:12 »

Merci pour l'alerte !
Entre autres, le site de la Cnil est indisponible : https://www.frandroid.com/culture-tech/web/3294239_cnil-deviantart-obs-des-sites-ferment-a-cause-des-failles-php
Next aussi : https://next.ink/262987/php-va-corriger-deux-vulnerabilites-critiques-aujourdhui/

Je vois que mon hébergeur mutualisé a déjà mis session.upload_progress.enabled = Off ce matin, j'espère qu'ils vont être réactifs pour le reste.

acut3 · « **Réponse #2 le:** **Aujourd'hui** à 15:30:19 »

lafibre.info ne se laisse pas impressionner

vivien · « **Réponse #3 le:** **Aujourd'hui** à 15:30:32 »

Lien vers l'alerte du CERT : https://cert.europa.eu/publications/security-advisories/2026-018

Les mises à jour pour toutes les versions d'Ubuntu ont été diffusées le 19 octobre : https://ubuntu.com/security/notices/USN-8936-1

butler_fr · « **Réponse #4 le:** **Aujourd'hui** à 15:39:09 »

t'es sur vivien ? pour l'instant je n'ai rien vu passer encore en patch
debian c'est pas proposé encore (testé à l'instant)
les repo vont subir un petit stress test d'ici quelques minutes

hwti · « **Réponse #5 le:** **Aujourd'hui** à 15:42:55 »

Ubuntu cite d'autres CVE, donc soit ils ont volontairement omis des informations en attendant que les détails soient publics, soit c'est juste une coïncidence d'avoir une mise à jour de sécurité 2 jours avant l'annonce d'une faille critique.

acut3 · « **Réponse #6 le:** **Aujourd'hui** à 15:43:11 »

Le patch arrive officiellement à 16h. Je ne pense pas qu'un patch ait déjà été publié pour Ubuntu (ou n'importe quelle distrib): https://ubuntu.com/security/CVE-2026-109618*

Edit : ah, un fix vient d'arriver sur Debian à l'instant (8.4.27-1~deb13u1), pas certain de ce qu'il contient

Aunisien · « **Réponse #7 le:** **Aujourd'hui** à 15:44:08 »

à priori ils sont dispos pour Debian, j'ai 13 packages à mettre à jour

butler_fr · « **Réponse #8 le:** **Aujourd'hui** à 15:48:50 »

pas pour debian12 en tout cas
8.2.34-1~deb12u1

alors que la version cible est la 8.2.35

version patchées:
8.5.12
8.4.27
8.3.36
8.2.35

Aunisien · « **Réponse #9 le:** **Aujourd'hui** à 15:52:34 »

je viens de passer en:

8.4.27-1~deb13u1

rooot · « **Réponse #10 le:** **Aujourd'hui** à 16:03:13 »

"patch" temporaire en attendant les packages :
https://www.it-connect.fr/php-failles-critiques-rce-cve-2026-109618-cve-2026-109619/

Citer

passez la directive session.upload_progress.enabled à Off

sinon rien de nouveau de mon coté, je suis toujours en 8.2.34 sur une debian 12

vivien · « **Réponse #11 le:** **Aujourd'hui** à 16:11:44 »

Citation de: butler_fr le Aujourd'hui à 15:39:09

t'es sur vivien ? pour l'instant je n'ai rien vu passer encore en patch
debian c'est pas proposé encore (testé à l'instant)
les repo vont subir un petit stress test d'ici quelques minutes

Citation de: acut3 le Aujourd'hui à 15:43:11

Le patch arrive officiellement à 16h. Je ne pense pas qu'un patch ait déjà été publié pour Ubuntu (ou n'importe quelle distrib): https://ubuntu.com/security/CVE-2026-109618*

Désolé, j'ai vu une mise à jour PHP le 19/10, j'ai pensé que c'était lié à la même CVE, mais non.

Habituellement les équipes sécurité des grandes distributions ont les correctifs un peu avant la divulgation (sous NDA), afin de préparer leur patch.