"Ce n'est pas un exercice" : Des vulnérabilités critiques en PHP mettent Internet à feu et à sang
wired ·
La Fondation PHP a divulgué deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, qui affectent toutes les installations PHP servant des requêtes web depuis la version 5. Ces failles permettent à des attaquants non authentifiés d'exécuter du code ou de lire une mémoire sensible contenant des mots de passe et des clés API sur les serveurs concernés. Les experts en sécurité alertent sur le fait que l'utilisation généralisée de PHP dans des infrastructures essentielles comme WordPress et Magento rend ces bugs particulièrement dangereux. Des attaques précoces ont déjà été détectées par Cloudflare avant la publication officielle des correctifs, alimentant les craintes d'une propagation rapide de malwares capables de se propager seuls. Par conséquent, plusieurs sites gouvernementaux en Finlande, en France et aux Pays-Bas sont hors ligne par mesure de précaution. Le NCSC britannique et d'autres agences ont exhorté les organisations à appliquer les mises à jour immédiatement ou à déconnecter les systèmes si les correctifs ne sont pas encore disponibles. Des chercheurs de Wiz, OpenAI et Calif ont contribué à identifier ces problèmes, certaines découvertes ayant été facilitées par des outils d'IA. Les autorités insistent sur le fait que la mise à jour est la seule mitigation sûre, car aucun contournement complet n'existe face au paysage actuel des menaces.
wired