Auteur Sujet: PHP - CVE-2026-109618 / CVE-2026-109619 (Lu 1400 fois)

acut3 · « **Réponse #36 le:** **Aujourd'hui** à 18:14:52 »

Sinon pour revenir au sujet initial :

AWS a détecté des attaques depuis le 17 octobre, soit 4 jours avant la levée de l'embargo : https://aws.amazon.com/it/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
Il semblerait qu'il y ait un nouveau fix à venir. Les fix d'hier ne fermeraient pas tous les chemins qui mènent au use-after-free

alain_p · « **Réponse #37 le:** **Aujourd'hui** à 18:49:24 »

Comme expliqué par le développeur IluTov sur Redit, la difficulté est qu'il ne faut pas que les fix cassent l'existant, et les nombreux sites PHP :

https://www.reddit.com/r/PHP/comments/1xbyxd2/new_php_cve_discovered/

rooot · « **Réponse #38 le:** **Aujourd'hui** à 19:22:07 »

Citation de: Hugues le Aujourd'hui à 16:56:28

je sais pas, c'est la pelleteuse ou le mec dans la pelleteuse qui creuse le trou ?

la je crois que tu mélanges un peu. la pelleteuse ne prend aucune décision toute seule, donc non, c'est le mec qui est dedans qui choisi de creuser 100m de long sur 1m de profondeur, c'est pas la pelleteuse qui aura decidé de le faire.
Mauvaise analogie.

je pense qu'il vaut mieux en rester là dans ce débat, ca va dévier dans le mauvais sens.

turold · « **Réponse #39 le:** **Aujourd'hui** à 19:52:16 »

Citation de: vivien le Hier à 23:06:03

Si certains sites sont revenus, d'autres tardent à appliquer la mise à jour :

https://www.impots.gouv.fr/

C'est encore le cas pour ce site (et d'autres aussi).

alain_p · « **Réponse #40 le:** **Aujourd'hui** à 20:15:53 »

La menace est plus forte que l'exécution

Alors que les patches sont disponibles et ont été appliqués, on maintient les sites inaccessibles. Cela fait plus de dégâts que la faille elle-même.

Leon · « **Réponse #41 le:** **Aujourd'hui** à 21:26:04 »

Citation de: alain_p le Aujourd'hui à 20:15:53

La menace est plus forte que l'exécution Alors que les patches sont disponibles et ont été appliqués, on maintient les sites inaccessibles. Cela fait plus de dégâts que la faille elle-même.

Euh... C'est du premier degré?
C'est une faille qui peut permettre de corrompre un serveur, avec toutes les conséquences que ça peut avoir, y compris réussir à s'infiltrer dans un système informatique potentiellement critique, extraire des données critiques, etc...
En comparaison, l'indisponibilité des services pendant 24 à 48h est un "moindre mal", de mon point de vue.

Leon.

alain_p · « **Réponse #42 le:** **Aujourd'hui** à 21:42:12 »

Citation de: Leon le Aujourd'hui à 21:26:04

Euh... C'est du premier degré?

C'est une référence au jeu d'Echec

Citer

C'est une faille qui peut permettre de corrompre un serveur.

Qui peut, mais pour l'instant je n'en ai pas d’exemple; Et si ils sont patchés, comme d'ailleurs ce forum, cela devrait être bon, non ? Il faut fermer le forum au cas où ?