Auteur Sujet: PHP - CVE-2026-109618 / CVE-2026-109619 (Lu 595 fois)

Aunisien · « **Réponse #12 le:** **Aujourd'hui** à 16:20:34 »

Confirmation par Next de la mise à dispo des correctifs.

rooot · « **Réponse #13 le:** **Aujourd'hui** à 16:27:41 »

un apt update && apt upgrade ne me remonte toujours rien...Pourtant je suis avec les dépots d'origine...

root@xxxxxx:~# cat /etc/apt/sources.list
# Dépôts principaux Debian 12 (Bookworm)
deb http://deb.debian.org/debian bookworm main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian bookworm main contrib non-free non-free-firmware

# Mises à jour de sécurité
deb http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb-src http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware

# Mises à jour stables (corrections de bugs)
deb http://deb.debian.org/debian bookworm-updates main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian bookworm-updates main contrib non-free non-free-firmware

# (Optionnel) Backports : versions plus récentes de certains paquets
#deb http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
#deb-src http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmwareroot

acut3 · « **Réponse #14 le:** **Aujourd'hui** à 16:36:17 »

C'est en train d'arriver : https://security.debian.org/debian-security/pool/updates/main/p/php8.2/?C=M;O=D
On voit qu'il y a déjà des bouts de 8.2.35

butler_fr · « **Réponse #15 le:** **Aujourd'hui** à 16:53:00 »

je viens de rajouter les versions patchée coté php-sury dans mon message initial (pour les vieilles version de php)

vivien · « **Réponse #16 le:** **Aujourd'hui** à 16:53:25 »

Les correctifs sont effectivement disponibles.
- Ubuntu 20.04 LTS : fixé acec PHP 7.4.3-4ubuntu2.29+esm5
- Ubuntu 22.04 LTS : fixé avec PHP 8.1.2-1ubuntu2.28
- Ubuntu 24.04 LTS : fixé avec PHP 8.3.6-0ubuntu0.24.04.13
- Ubuntu 26.04 LTS : fixé avec PHP 8.5.4-0ubuntu1.5
- Ubuntu 26.10 LTS : fixé avec PHP 8.5.9-0ubuntu2.1

Ubuntu 24.04 LTS avant la mise à jour :
$ apt list -a --installed php8.3-fpm
En train de lister... Fait
php8.3-fpm/noble-security 8.3.6-0ubuntu0.24.04.13 amd64 [pouvant être mis à jour depuis : 8.3.6-0ubuntu0.24.04.12]
php8.3-fpm/noble-updates,now 8.3.6-0ubuntu0.24.04.12 amd64 [installé, pouvant être mis à jour vers : 8.3.6-0ubuntu0.24.04.13]
php8.3-fpm/noble 8.3.6-0maysync1 amd64

Après la mise à jour :
$ apt list -a --installed php8.3-fpm
En train de lister... Fait
php8.3-fpm/noble-security,now 8.3.6-0ubuntu0.24.04.13 amd64 [installé, automatique]
php8.3-fpm/noble-updates 8.3.6-0ubuntu0.24.04.12 amd64
php8.3-fpm/noble 8.3.6-0maysync1 amd64

rooot · « **Réponse #17 le:** **Aujourd'hui** à 18:14:09 »

ca y est, ca marche, c'est patché chez moi

alf084 · « **Réponse #18 le:** **Aujourd'hui** à 18:26:25 »

Infomaniak est en cours de déploiement des mises à jour de PHP sur l’ensemble des services.
En ce moment, les fonctionnalités liées à l'envoi de fichiers peuvent être indisponibles dans plusieurs des services, comme kSuite, SwissTransfer, AOD/VOD et la solution de ticketing.

Source :
https://infomaniakstatus.com/fr/p7jX3ML9E1/
https://infomaniakstatus.com/fr/Jnxlo5BDjr/

vivien · « **Réponse #19 le:** **Aujourd'hui** à 22:39:25 »

La faille de PHP s'invite au 20 heures de TF1 et France 2 :

La société de cybersécurité Wiz, détenue par Alphabet, a déclaré dans un article de blog qu'elle l'avait elle aussi découverte à l'aide de Wiz Atlas, son outil autonome de recherche de vulnérabilités basé sur l'IA, ainsi que de Gemini 4 Argon de Google et de GPT-5.6 Sol d'OpenAI.

alain_p · « **Réponse #20 le:** **Aujourd'hui** à 22:47:55 »

Bah oui, pas mal de sites ont été arrêtés pour mise à l'abri avant upgrade. Cela n'est pas passé inaperçu.

Mais de manière générale, il y a des soucis de sécurité avec PHP, qui n'a pas été conçu au départ pour prendre en compte la sécurité. A l'origine, vers 1993, c'était 'Personal Home Page', un script mis au point pour un usage personnel.

Je remarque que les sites développés en PHP ont beaucoup de mises à jour de sécurité. Cela peut être de l'injection SQL, du Cross Site Scripting etc...

Je pense de plus en plus qu'il vaut mieux développer les sites dans un autre langage, comme les frameworks Python (Django, Flask...).

vivien · « **Réponse #21 le:** **Aujourd'hui** à 23:06:03 »

Si certains sites sont revenus, d'autres tardent à appliquer la mise à jour :

https://www.impots.gouv.fr/

https://www.marne.gouv.fr/

https://www.banque-france.fr/

https://www.fbf.fr/

Bien sûr, certains font l'amalgame avec la panne Orange...

acut3 · « **Réponse #22 le:** **Aujourd'hui** à 23:08:30 »

Citation de: alain_p le Aujourd'hui à 22:47:55

Mais de manière générale, il y a des soucis de sécurité avec PHP, qui n'a pas été conçu au départ pour prendre en compte la sécurité. A l'origine, vers 1993, c'était 'Personal Home Page', un script mis au point pour un usage personnel.

Je remarque que les sites développés en PHP ont beaucoup de mises à jour de sécurité. Cela peut être de l'injection SQL, du Cross Site Scripting etc...

Je pense de plus en plus qu'il vaut mieux développer les sites dans un autre langage, comme les frameworks Python (Django, Flask...).

PHP n'est pas intrinsèquement moins sûr qu'autre chose, et des vuln avec un impact similaire il y a eu plein dans d'autres langage. Tu te souviens peut-être par exemple de CVE-2025-55182 ("React2Shell") sur React Server Components. Ou de CVE-2021-44228 ("Log4Shell") sur Log4j (java). Les deux avaient eu un impact colossal, probablement bien plus que ces deux vulns PHP n'auront jamais (déjà parce que c'est plus dur à exploiter).

Après plus personne ne fait de PHP "from scratch" pour des projets sérieux. Il y a des frameworks comme Laravel qui sont extrêmement bien faits.