Le 21 octobre 2026, la NSA a publié un avis concernant PHP. Elle appelle les organisations qui utilisent ce langage à installer rapidement les mises à jour visant deux vulnérabilités critiques. Elle recommande de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour immédiatement, jusqu’à leur mitigation complète.
Le bulletin du projet PHP identifie CVE-2026-109618 et CVE-2026-109619, deux failles pouvant permettre une exécution de code à distance sans authentification. Les versions corrigées publiées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les administrateurs qui utilisent des paquets fournis par une distribution ou un prestataire de support prolongé doivent vérifier les mises à jour de ce fournisseur. PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs de sécurité en amont.
Le projet PHP précise qu’installer une version corrigée constitue la seule solution complète ; des mesures provisoires peuvent réduire certaines voies d’exploitation sans sécuriser entièrement le système.
Pourquoi cela concerne nos recherches ?
Les vulnérabilités citées concernent PHP. Elles ne prouvent pas qu’un service de la Fondation utilise une version touchée ; cette note ne constitue pas un audit de son infrastructure. Elles rappellent que la sécurité des services numériques dépend aussi de l’inventaire et de la mise à jour de leurs composants logiciels, en complément de l’évaluation des modèles d’intelligence artificielle.