OpenAI, Calif et Wiz ont révélé le 21 octobre 2026 deux vulnérabilités critiques dans le moteur PHP, corrigées avant leur exploitation par des attaquants. Suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, elles obtiennent chacune un score CVSS de 9,2 et permettent l’exécution de code à distance ainsi que la divulgation de données en mémoire, sans authentification. Elles touchent les versions de PHP antérieures ou égales à la 5.4.0 et pourraient concerner environ 70 % des sites web utilisant PHP, notamment WordPress, Drupal et MediaWiki. Leur comportement a été vérifié de manière indépendante sur WordPress et Drupal en août 2026, tandis que la divulgation a été coordonnée avec AWS, Google Cloud et Microsoft. Les exploitants doivent installer les versions corrigées de PHP afin d’éviter des incidents de sécurité et des pertes financières consequentiales.
Source: Lire l’article original
