Présentation de la mise à jour
Le groupe de développement de PHP a rendu disponible PHP 8.2.35. Il s’agit d’une version de maintenance classée « security release », publiée immédiatement après la découverte de deux failles. La version cible les installations de PHP 8.2, qui restent la branche active jusqu’à la fin de l’année 2026. Le changelog officiel recense les modifications apportées, et les binaires Windows ainsi que les sources sont accessibles depuis la page de téléchargement du projet.
Vulnérabilités corrigées
PHP 8.2.35 résout les CVE‑2026‑109618 et CVE‑2026‑109619. Les deux failles permettent une exécution de code à distance sans authentification préalable, ce qui les classe comme critiques. Aucun contournement complet n’est proposé ; l’exploitation repose sur l’injection de code malveillant dans des fonctions d’interprétation du langage. L’absence de mécanismes de mitigation renforce la nécessité d’une mise à jour immédiate pour éviter la compromission du serveur.
Fin de vie de PHP 8.2 et implications
PHP 8.2 atteindra sa fin de vie le 31 décembre 2026. À cette date, le projet cessera de publier tout correctif de sécurité pour cette branche. Les utilisateurs qui resteront sur PHP 8.2 après cette échéance ne bénéficieront plus d’aucune protection contre de nouvelles vulnérabilités, augmentant le risque d’exposition. La migration vers une version supportée (par ex. PHP 8.3 ou ultérieure) devient donc indispensable pour maintenir un niveau de sécurité acceptable.
Recommandations d’application
Les administrateurs doivent télécharger PHP 8.2.35 depuis le dépôt officiel, vérifier l’intégrité des archives, puis recompiler ou remplacer les binaires en production. La documentation d’accompagnement indique que la mise à jour ne modifie pas l’API publique, limitant les impacts fonctionnels. Il est conseillé de tester la nouvelle version dans un environnement de préproduction avant le déploiement, puis de planifier la migration vers une version majeure supportée avant la date de fin de vie.
