PHP : Cloudflare a signalé une faille distincte après les correctifs du 21 octobre

Le 23 octobre 2026, Cloudflare a signalé une vulnérabilité PHP distincte, CVE-2026-115560, deux jours après la publication par PHP de correctifs pour CVE-2026-109618 et CVE-2026-109619. Cette nouvelle faille n’est pas corrigée par les versions publiées le 21 octobre dans le cadre de la réponse coordonnée autour de Patch the Planet.

Une faille distincte signalée le 23 octobre

Selon PHP, CVE-2026-115560 concerne une configuration peu courante : le paramètre session.serialize_handler est réglé sur php à l’exécution avant session_start(), alors que le suivi de progression des envois de fichiers par session reste activé. Les correctifs publiés le 21 octobre ne couvrent pas cette faille.

Les deux failles corrigées par PHP

PHP a publié le 21 octobre des correctifs pour CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités du cœur du langage. Google Cloud attribue à chacune un score de gravité CVSS v4.0 de 9,2, classé critique.

CVE-2026-109618 concerne le traitement d’une situation de mémoire épuisée. Une requête peut alors rester partiellement initialisée, puis être traitée à tort comme si elle était complète lors du nettoyage. CVE-2026-109619 porte sur un état interne qui peut subsister après la libération de la mémoire associée et être réutilisé par une requête ultérieure sur le même processus de travail.

Wiz a décrit des démonstrations d’exécution de code à distance sans authentification sur certaines applications PHP, ainsi qu’une voie de divulgation de mémoire du processus. PHP désigne comme concernées les installations web utilisant PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le projet identifie mod_php comme la configuration présentant le risque le plus élevé.

Les versions corrigées et les branches anciennes

Les versions publiées par PHP le 21 octobre corrigent les deux vulnérabilités dans les branches indiquées ci-dessous.

PHP indique que la mise à niveau vers une version corrigée est la seule correction complète pour ces deux CVE. Les règles d’un pare-feu applicatif peuvent réduire l’exposition, mais ne remplacent pas la mise à niveau. Les administrateurs peuvent consulter l’avis de sécurité de PHP pour les correctifs et les consignes du projet.

PHP ne publie plus de mises à jour de sécurité régulières pour la branche 8.1 et les branches antérieures. Le projet a fourni des correctifs minimaux dans les sources pour les branches 7.4, 8.0 et 8.1; les distributions et les fournisseurs de support à long terme peuvent aussi proposer leurs propres paquets. Leur statut peut donc différer de celui des versions amont. Pour une installation ancienne, la voie de mise à jour dépend du paquet fourni par sa distribution ou son prestataire LTS.

Calif, Wiz et OpenAI ont contribué à la recherche

OpenAI a décrit le 21 octobre la réponse coordonnée autour des vulnérabilités PHP dans le cadre de Patch the Planet, une initiative qu’il avait annoncée le 22 juin 2026. Calif situe au 1er août la découverte de plusieurs pistes d’exécution de code à distance et au 11 août son premier signalement à PHP. OpenAI a attribué à Calif une découverte réalisée avec GPT-5.6 Sol.

Ryan Austin, chercheur chez Calif, a expliqué que son équipe s’était servie d’un grand modèle de langage comme outil de recherche. Son expérience de PHP et sa connaissance des anciennes vulnérabilités ont guidé ses investigations. Calif indique que cette découverte initiale ne reposait ni sur un environnement de test spécialisé ni sur un accès à des modèles réservés.

Wiz a rapporté avoir découvert indépendamment une vulnérabilité le 19 août et avoir signalé les failles à PHP le 24 août. Son équipe a utilisé Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol. La PHP Foundation indique de son côté qu’OpenAI a signalé à PHP la même cause racine le 11 août, puis d’autres chemins d’attaque le 18 septembre.

OpenAI a également proposé un cadre en cinq étapes pour de futures divulgations coordonnées. Cette proposition accompagne le récit de l’initiative; les correctifs du 21 octobre, eux, ont été publiés par le projet PHP.

Amazon a observé une tentative sur un honeypot

Amazon a déclaré le 21 octobre avoir observé une tentative d’exploitation sur un honeypot MadPot le 17 octobre, avant la divulgation publique. L’observation concerne ce système leurre et ne décrit pas une compromission confirmée d’un serveur réel.