PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur 10. Ces vulnérabilités, présentes depuis plus de dix ans, permettent une prise de contrôle à distance d’un serveur sans identifiant ni mot de passe, y compris avant le démarrage normal du site. Cloudflare bloque les tentatives d’exploitation depuis 5 h 02, heure de Paris, mais les attaquants modifient déjà leurs méthodes pour contourner ses règles. Les équipes de Wiz Research ont découvert les failles en quelques jours grâce à l’outil Wiz Atlas et à deux modèles d’intelligence artificielle, puis ont signalé le problème à PHP le 24 août. Les administrateurs doivent inventorier toutes leurs installations PHP, appliquer les correctifs ou, à défaut, désactiver le suivi des téléversements et surveiller les signes d’attaque.
Source: Lire l’article original
