PHP subit des exploits avant le correctif des failles critiques

Contexte et découverte

Le langage PHP, présent sur une grande partie du Web et notamment sur les sites WordPress, a été touché par deux vulnérabilités critiques identifiées sous les références CVE-2026-109618 et CVE-2026-109619. La PHP Foundation a annoncé le mercredi la disponibilité d’un correctif, mais les détails des failles ont fuité sur des forums avant la publication officielle. Amazon Threat Intelligence a détecté une première tentative d’exploitation le 17 octobre grâce à un honeypot, puis d’autres tentatives le 21 octobre, quelques heures avant le déploiement du patch.

Mécanisme des vulnérabilités

Les deux CVE permettent une exécution de code à distance (RCE) sur les serveurs PHP non mis à jour. Selon la PHP Foundation, la correction a été retardée par des compromis de compatibilité ascendante, le risque d’introduire un déni de service et la nécessité de modifier de nombreuses extensions tierces. Une exécution de code non autorisée peut conduire à la prise de contrôle du serveur, à la compromission de bases de données et à la propagation de logiciels malveillants.

Exploitation avant le correctif

Le rapport d’Amazon indique qu’une adresse IP anonymisée a ciblé le honeypot le 17 octobre, suggérant qu’un acteur malveillant disposait déjà d’informations sur la faille alors que celle‑ci était sous embargo. Des tentatives supplémentaires ont été relevées le 21 octobre, peu avant la diffusion du correctif. La source précise que, malgré ces tentatives, aucune exécution de code réussie n’a été confirmée à ce jour.

Réponses et mesures

Elizabeth Barron, directrice exécutive de la PHP Foundation, a souligné l’urgence de mettre à jour les systèmes affectés, même si aucune compromission avérée n’a été détectée. La fondation a annoncé un réexamen de ses processus internes afin d’accélérer la résolution de vulnérabilités complexes, notamment en impliquant plus tôt la direction. Les administrateurs sont encouragés à appliquer le correctif immédiatement et à surveiller les journaux pour détecter d’éventuelles tentatives d’exploitation résiduelles.