Alerte - AL26-026 - Vulnérabilités critiques touchant PHP – CVE-2026-109618 et CVE-2026-109619

Numéro : AL26-026
Date : 21 octobre 2026

Audience

La présente alerte s’adresse aux professionnelles et professionnels des TI et aux gestionnaires.

Objet

Une alerte vise à sensibiliser les destinataires à une cybermenace récemment relevée pouvant toucher les biens d’information électroniques et à fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) peut offrir une assistance supplémentaire aux destinataires qui en font la demande.

Détails

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) est au courant de vulnérabilités critiques touchant PHP^{Note de bas de page 1}. En réponse à l’avis publié par le fournisseur, le Centre pour la cybersécurité a publié un avis le 21 octobre 2026^{Note de bas de page 2}.

Publiée sous les numéros CVE-2026-109618^{Note de bas de page 3} et CVE-2026-109619^{Note de bas de page 4}, ces vulnérabilités de type utilisation après libération de la mémoire (CWE‑416) ^{Note de bas de page 5} touchent plusieurs versions de PHP. Connues sous le nom de « php2shell »^{Note de bas de page 6}, leur exploitation réussie pourrait permettre à un attaquant non authentifié d’exécuter du code arbitraire sur un système vulnérable. Les serveurs et applications PHP accessibles à partir d’Internet sont particulièrement exposés.

L’équipe de sécurité de PHP a publié des mises à jour de sécurité pour corriger ces vulnérabilités. Les organisations devraient repérer les systèmes touchés et appliquer les mises à jour appropriées sans délai.

PHP demeure une technologie largement déployée et continue de prendre en charge une part importante des applications Web à l’échelle mondiale.

Toutes les installations PHP servant des requêtes Web sont exposées, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Selon PHP, le risque est particulièrement élevé pour mod_php, puisqu’une exploitation démontrée permet à une requête non authentifiée de déclencher la vulnérabilité avant même l’exécution du code de l’application.

Le Centre pour la cybersécurité a observé des rapports de sources ouvertes indiquant que des preuves de concept (PoC) sont publiquement accessible. Aucune exploitation active n’a été observée pour le moment; toutefois, la situation pourrait évoluer rapidement.

Mesures recommandées

Le Centre pour la cybersécurité recommande fortement aux organisations utilisant des versions touchées de PHP d’effectuer une mise à niveau vers une version corrigée prise en charge :

Remarque : Les versions 8.1 et antérieures ne reçoivent plus de mises à jour de sécurité du projet PHP. Certaines distributions Linux et certains fournisseurs offrant un soutien à long terme (LTS) peuvent fournir des correctifs rétroportés. Les organisations devraient communiquer avec leur fournisseur pour obtenir des précisions ou effectuer une mise à niveau vers une version prise en charge.

Le Centre pour la cybersécurité recommande aux organisations de :

• Mettre à jour immédiatement les installations PHP touchées vers une version corrigée et prise en charge.
• Accorder la priorité aux systèmes et applications accessibles à partir d’Internet qui traitent des données ou des entrées non fiables.
• Repérer les produits, appareils et conteneurs qui intègrent des composants PHP vulnérables^{Note de bas de page 7}.
• Lorsqu’il n’est pas possible d’appliquer immédiatement les mesures correctives, les organisations devraient envisager d’isoler les applications accessibles à partir d’Internet des réseaux publics jusqu’à ce qu’un correctif puisse être appliqué.
• Surveiller les signes de compromission potentielle en examinant les journaux des serveurs Web, des applications, des mécanismes d’authentification et des points d’extrémité afin d’y déceler toute activité suspecte.
• Enquêter sur tout processus, commande, fichier, compte ou connexion sortante inattendu associé à PHP ou aux services de serveur Web.
• Assurer une surveillance continue des avis de sécurité publiés par les fournisseurs tiers, y compris ceux concernant les appareils, applications et les services intégrant PHP, et appliquer sans délai les correctifs pertinents.

Les organisations devraient également consulter les 10 mesures de sécurité des TI du Centre pour la cybersécurité^{Note de bas de page 8}.

Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, ils sont invités à le signaler par l'entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.

Références