PHP a corrigé deux failles critiques, CVE-2026-109618 et CVE-2026-109619, permettant à des attaquants non authentifiés d’exécuter du code à distance sur des serveurs web. Les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.5.12 corrigent ces vulnérabilités, qui ont reçu une note de criticité de 9,2 sur 10 selon CVSS v4.0, tandis que des correctifs rétrocompatibles ont été publiés pour PHP 7.4, 8.0 et 8.1. Cloudflare a observé des attaques ciblant ses clients, ce qui a conduit Kraken et Ledger à demander aux opérateurs de mettre à jour rapidement leurs installations PHP et de vérifier les routeurs, pare-feu, stockage réseau, interfaces d’administration et appareils des fabricants pouvant embarquer ce logiciel. Le centre national britannique de cybersécurité a également recommandé de repérer les installations exposées, de prioriser celles accessibles sur Internet et de les déconnecter si les correctifs ne peuvent pas être appliqués rapidement. Ces alertes ne signalent aucune compromission de Kraken ou de Ledger, mais surviennent parallèlement à des corrections de sécurité de Node.js et à la compromission de huit certificats d’authentification Internet.
Source: Lire l’article original
