L’équipe de sécurité de PHP a publié le 21 octobre à 16 heures un correctif pour deux failles critiques notées 9,2 sur 10 au score CVSS v4.0. Ces vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, sont des executions de code à distance affectant toutes les versions de PHP depuis la 5.4. Seules les branches 8.2 et suivantes bénéficieront d’un correctif officiel, laissant les serveurs en 7.4 ou 8.1 sans mise à jour native. La société Sansec, spécialisée dans la sécurité e-commerce, a prévenu que des attaques de masse étaient à craindre dès quinze minutes après la publication du patch, les attaquants pouvant reconstituer l’exploit à partir du code corrigé. Ces failles menacent directement les plateformes de commerce en ligne comme WooCommerce, Magento et Shopware, permettant potentiellement de détourner des adresses de dépôt en cryptoactifs.
Source: Lire l’article original
