Dans sa mise à jour du 22 octobre 2026, Cisco Talos a signalé des tentatives visant CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités critiques de PHP. L’activité observée était surtout constituée de balayages et d’envois non coordonnés de charges utiles. Le bulletin ne fait état d’aucune compromission réussie.

Pourquoi les observations de Talos ont évolué

Le 21 octobre 2026 à 14 h UTC, Talos indiquait n’avoir observé aucune exploitation dans la nature jusqu’à ce moment-là. Dans sa mise à jour du 22 octobre, l’équipe a rapporté des tentatives observées dans les heures suivant la divulgation. Ces constats portent sur des périodes différentes : le premier arrêtait l’observation à une heure précise, tandis que le second décrit une activité ultérieure.

Une tentative d’exploitation, un balayage et l’envoi d’une charge utile ne signifient pas qu’un système a été compromis. Talos décrit principalement des balayages et des envois non coordonnés; son bulletin ne rapporte pas d’intrusion réussie.

Deux failles de PHP core, notées 9,2 chacune

CVE-2026-109618 et CVE-2026-109619 se trouvent dans PHP core, le cœur du langage, et non dans une application particulière. Cisco Talos leur attribue à chacune un score de gravité CVSS v4.0 de 9,2. Selon Talos, les versions de PHP à partir de la 5.4 sont concernées, et une requête HTTP peut atteindre le code vulnérable avant l’exécution de celui de l’application.

Les deux failles touchent des mécanismes de gestion de la mémoire, mais par des voies distinctes. CVE-2026-109618 concerne une erreur de mémoire insuffisante qui peut interrompre l’initialisation d’une requête; lors du nettoyage, des données invalides risquent alors d’être traitées comme valides. CVE-2026-109619 concerne un état interne périmé qui peut être réutilisé après la libération de la mémoire à laquelle il se rapporte.

Versions corrigées et limites des réglages temporaires

CERT-EU cite quatre versions corrigées : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. NeoTeo a déjà présenté ces versions corrigées.

Talos décrit des réglages provisoires qui réduisent certains chemins d’attaque, mais précise qu’ils n’offrent pas de protection complète. Par exemple, désactiver session.upload_progress.enabled bloque les chemins de session identifiés pour CVE-2026-109619, sans couvrir toutes ses variantes ni corriger CVE-2026-109618. Talos recommande de passer à une version corrigée.