Découverte de vulnérabilités critiques d'exécution de code à distance dans Core PHP : CVE-2026-109618 et CVE-2026-109619

CVE-2026-109618 et CVE-2026-109619 : ce que vous devez savoir

• En bref : deux vulnérabilités critiques (scores CVSS v4.0 de 9,2), CVE-2026-109618 et CVE-2026-109619 ont été découvertes dans Core PHP. 

• Leur impact : sans correctifs, les vulnérabilités exposent Core PHP (toutes les versions 5-8) à l'exécution de code à distance (RCE).

• Ce que vous devriez faire :la PHP Foundation a corrigé les CVE-2026-109618 et CVE-2026-109619 dans PHP 8.2 et les versions ultérieures (plus précisément, les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35). Certaines distributions et certains fournisseurs LTS proposent des correctifs rétroportés. Contactez votre fournisseur pour plus de détails, ou effectuez la mise à niveau vers une version prise en charge. L'équipe de sécurité de PHP a fourni un nombre minimal de rétroportages source pour les versions PHP 7.4, PHP 8.0 et PHP 8.1 afin d'aider les personnes qui compilent à partir de la source ou qui n'ont pas accès à un fournisseur LTS. En attendant, les clients de Fastly peuvent choisir d'activer notre règle WAF afin de bénéficier d'une protection temporaire.

Présentation des CVE-2026-109618 et CVE-2026-109619 

Le 21 octobre 2026, deux CVE, CVE-2026-109618 + CVE-2026-109619, ont été publiées en réponse aux vulnérabilités critiques découvertes dans Core PHP, un élément fondamental du langage de programmation PHP. Les deux CVE ont un score CVSS v4.0 de 9,2, ce qui signifie qu'il s'agit de vulnérabilités critiques nécessitant une attention et la mise en place de mesures d'atténuation immédiates.

Détails des CVE

CVE-2026-109618 - RCE via une OOM
PHP utilise longjmp() pour quitter le contexte actuel en cas d'erreur de mémoire insuffisante (OOM) et interrompre le traitement de la requête. Certains contextes peuvent ne pas tenir correctement compte de ce scénario et laisser la mémoire de la requête dans un état non initialisé. La procédure de nettoyage de la requête suivante peut lire cette mémoire ou effectuer un branchement en fonction de celle-ci. Plusieurs stratégies de gestion des erreurs de mémoire insuffisante (OOM) peuvent déclencher systématiquement cette condition et entraîner une exécution de code à distance (RCE).

CVE-2026-109619 - RCE via des erreurs fatales
PHP utilise longjmp() en cas d'erreurs fatales pour quitter le contexte actuel et interrompre le traitement de la requête. Certains contextes peuvent ne pas prendre correctement en compte ce scénario et laisser la mémoire globale dans un état non valide, en pointant vers une zone mémoire libérée à la fin de la requête. Les requêtes suivantes peuvent lire cette mémoire ou effectuer des branchements en fonction de celle-ci. Plusieurs stratégies peuvent se déclencher.

Impacts des CVE-2026-109618 et CVE-2026-109619 

L'absence de correctifs pour ces deux vulnérabilités rend Core PHP reste vulnérable à l'exécution de code à distance (RCE). Nous encourageons nos clients, ainsi que toute autre personne lisant cet article, à corriger immédiatement les versions vulnérables dès qu'un correctif sera disponible. 

Ce que fait Fastly à ce sujet

Notre équipe Next-Gen WAF a élaboré un ensemble de règles que les clients peuvent activer. Pour accéder au correctif virtuel, les clients doivent activer les règles directement dans le tableau de bord WAF. Pour atténuer les risques pour vos applications protégées par NGWAF, les clients de Fastly peuvent activer le signal couvrant à la fois la CVE-2026-109618 et la CVE-2026-109619. Le contenu de détection de cette règle prédéfinie spécifique à cette CVE recherche les caractéristiques structurelles de ces tentatives d'exploitation ; des corps et des paramètres dont la structure diffère de celle du trafic légitime, susceptibles d'indiquer des tentatives d'exploitation potentielles des CVE php2shell.

Cela devrait contribuer à fournir une certaine protection jusqu'à la publication d'un correctif officiel. 

Comment Fastly peut vous aider

Nous sommes conscients que nos clients nous confient la résilience de leurs services essentiels à leur activité, et notre mission principale est de vous soutenir lorsque des incidents tels que ceux liés aux vulnérabilités CVE-2026-109618 et CVE-2026-109619 surviennent. Nos équipes se tiennent à votre disposition à mesure que ces vulnérabilités évoluent, que vous soyez un client de longue date de la plateforme Fastly ou un nouveau client ayant besoin d'une protection immédiate. Contactez-nous pour obtenir de l'aide!