Auteur Sujet: PHP - CVE-2026-109618 / CVE-2026-109619  (Lu 2464 fois)

0 Membres et 7 Invités sur ce sujet

turold

  • Abonné Orange Fibre
  • *
  • Messages: 2 080
  • mp fermée (sauf admin et exceptions temporaires)
    • Site officieux de Paint.NET.
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #48 le: Hier à 20:29:18 »
Pour les impôts ça refonctionne
Pas ici, via le site internet, même avec ctrl+f5 ou navigation privée.

alain_p

  • Abonné Free fibre
  • *
  • Messages: 18 938
  • Delta S 10G-EPON sur Les Ulis (91)
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #49 le: Hier à 20:36:44 »
Idem, site en maintenance.

P.S : J'ai entendu ce soir une alerte officielle à la radio, avec sirène, demandant de mettre à jour PHP. Pas sûr que le grand public comprenne, et est d'ailleurs quoi que ce soit à patcher. Cela ne me semble pas très utile comme alerte. O en fait un peu des tonnes sur une faille qui n'a toujours pas d'utilisation active confirmée.

Par contre, l’État ferait bien de remettre au plus vite la transposition de la directive NIS2 dans le droit français dans l'agenda du parlement. Après l'aovir été début Octobre, cela a de nouveau été repoussé, alors que la France aurait du transposer cette directive depuis au moins 2 ans, et est le dernier état européen à ne pas l'avoir fait.
« Modifié: Hier à 23:11:23 par alain_p »

thenico

  • Expert.
  • Abonné OVH
  • *
  • Messages: 1 098
  • FTTH >500 Mb/s (13)
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #50 le: Hier à 23:33:05 »
E-Mail reçu de Stormshield (filiale d'Airbus et spécialiste de la sécurité informatique (pare-feu, EDR et crypto)) aujourd'hui vers 19h.
On peut légitimement se poser des questions sur les ressources attribués à la MCO sur ce service qui est critique car stockant les configurations pare-feux des clients (identifiants inclus).

Leon

  • Abonné Bbox fibre
  • Modérateur
  • *
  • Messages: 7 176
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #51 le: Aujourd'hui à 06:45:54 »
Qui peut, mais pour l'instant je n'en ai pas d’exemple; Et si ils sont patchés, comme d'ailleurs ce forum, cela devrait être bon, non ? Il faut fermer le forum au cas où ?
J'adore tes avis à la yakafokon...
Beaucoup de sites web sérieux ont tout un processus de validation, notamment des tests dans un environnement de test, quand une nouvelle version d'un composant logiciel apparait, avant de pousser en production sur les vrais serveurs.
Souvent appliquer un patch ne se limite pas à "cliquer sur un bouton", contrairement à ce que tu crois.

Notre forum lafibre.info, c'est un site assez simple, maintenu par 1 seule personne, basé sur un unique serveur. Rien à voir avec les gros sites web.

Leon.

vivien

  • Administrateur
  • *
  • Messages: 53 628
    • Bluesky LaFibre.info
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #52 le: Aujourd'hui à 10:01:22 »
Je confirme, je connais un service où le patch a été rapidement poussé vers la pré-prod, mais il a fallu une pression à haut niveau pour qu'il soit mis en prod un vendredi.

Certains ont peur de tout casser en mettant en prod un patch peu validé un vendredi.

alain_p

  • Abonné Free fibre
  • *
  • Messages: 18 938
  • Delta S 10G-EPON sur Les Ulis (91)
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #53 le: Aujourd'hui à 10:59:57 »
Souvent appliquer un patch ne se limite pas à "cliquer sur un bouton", contrairement à ce que tu crois.

Je ne crois rien, j'ai fait moi-même des mises à jour sur des serveurs, contrairement à ce que tu sembles penser. Mais qui sont restés hors ligne suite à des consignes plus haut. Là, je rejoins l'expérience de Vivien.

En fait, pour moi, la différence ne se situe pas entre petits et gros serveurs, mais entre serveurs commerciaux, où tu peux perdre des millions quand ils ne sont pas en ligne, et serveurs d'administrations, avec une certaine sensibilité politique, où après les attaques par exemple sur la DGIF, on préfère faire du zèle, et donc même des messages à la radio et à la télé, alors que l'on n'a toujours pas fait passer la directive européenne NIS2, deux ans après la date limite.

Pour des serveurs d'administrations publiques, les maintenir hors ligne ne coûte rien, cela gêne seulement les usagers. On ne peut plus faire certaines démarches administratives, dont certaines peuvent être urgentes.

Et effectivement, une autre logique est qu'on ne fait pas de grosse modif un vendredi pour être sûr de ne pas être dérangé pendant le week-end, de vacances qui plus est.
« Modifié: Aujourd'hui à 22:30:20 par alain_p »

alain_p

  • Abonné Free fibre
  • *
  • Messages: 18 938
  • Delta S 10G-EPON sur Les Ulis (91)
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #54 le: Aujourd'hui à 21:22:28 »
Un exemple, je viens de voir que le site Orange.com, d'après l'extension Wapalyzer de Firefox, serait en Drupal, un franework PHP qui a lui même connu une sérieuse alerte de sécurité il y a quelques jours, et pourtant il est en ligne.

https://www.lemondeinformatique.fr/actualites/lire-une-faille-critique-empoisonne-les-administrateurs-drupal-100217.html

alain_p

  • Abonné Free fibre
  • *
  • Messages: 18 938
  • Delta S 10G-EPON sur Les Ulis (91)
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #55 le: Aujourd'hui à 21:40:49 »
Le site de l'ARCEP serait lui, toujours d'après Wappalyzer, en TYPO3, un CMS PHP :

TYPO3 is a free and open-source Web content management system written in PHP.

https://www.wappalyzer.com/technologies/cms/typo3-cms/?utm_source=popup&utm_medium=extension&utm_campaign=wappalyzer

Il est utilisé aussi par exemple par TotalEnergies, site aussi en ligne

pioup

  • Abonné Bbox fibre
  • *
  • Messages: 1 551
  • 10000
PHP - CVE-2026-109618 / CVE-2026-109619
« Réponse #56 le: Aujourd'hui à 22:16:17 »
Total n'est peut être pas l'exemple à suivre aussi. Entre les mails qui arrivent systématiquement dans les spams, et la fuite de données du mois dernier.