Les builders fluides de Rule ont fait les gros titres, mais la ligne de Laravel 13.36 sur laquelle j'agirais en premier, c'est Worker::$flushStickyConnections. Elle est désactivée par défaut pour ne rien casser dans les …
Laravel 13.38 introduit PreventStaleDatabaseReads, un middleware qui envoie les lectures d'un utilisateur vers le primaire pendant deux secondes après une écriture. C'est pratique et ça vaut le coup de l'activer. Mais l'…
Tout le monde parle du modèle qui a déniché CVE-2026-109618 et CVE-2026-109619. Le chiffre qui dérange davantage, c'est celui de Cisco : environ la moitié du PHP exposé sur Internet tourne sur des versions qui ne reçoive…
Les exploits php2shell ne laissent rien dans tes logs. Tu ne vois que ce que l'attaquant fait ensuite, donc la détection repose sur le fait que www-data ne fasse presque jamais rien d'intéressant. C'est un choix d'archit…
Les correctifs PHP2Shell sont sortis le 21 octobre, et beaucoup d'équipes ne savent toujours pas quel binaire PHP a répondu à leur dernière requête. Kai défend l'idée que l'interpréteur est ta dépendance la plus importan…
Quand PHP2Shell est tombé, le projet PHP a publié en urgence des correctifs source pour 7.4, 8.0 et 8.1, des branches qu'il avait déjà mises à la retraite. Sois reconnaissant, puis lis ce geste correctement. Ta prochaine…
Le projet PHP a annoncé à l'avance les correctifs critiques de CVE-2026-109618 et CVE-2026-109619, avec une date et une heure UTC, sans dévoiler les détails. C'était un marché honnête. Le problème, c'est que beaucoup d'é…
Deux failles critiques du cœur de PHP, CVE-2026-109618 et CVE-2026-109619, n'ont été corrigées que pour les branches 8.2 à 8.5. Ceux qui tournent encore en 7.4, 8.0 ou 8.1 se retrouvent à durcir leurs fichiers de config …
Le 21 octobre, on a eu droit dans le même après-midi à un contournement du token guard de Laravel et à deux failles PHP notées 9.2 au CVSS. Huit jours plus tard, les équipes qui ont patché vite ne s'en souciaient pas plu…
Le correctif du bug mémoire de session.upload_progress était prévu pour le 21 octobre, et la plupart des équipes vont mettre à jour puis passer à autre chose. C'est la mauvaise conclusion. Une option par défaut que presq…
Deux failles notées CVSS 9.2 dans le moteur PHP, corrigées dans 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et aucun contournement complet. La mise à jour prend quelques minutes. Ce qui manque vraiment à la plupart des équipes, c'…
Deux failles d'exécution de code à distance sans authentification dans le runtime PHP, CVE-2026-109618 et CVE-2026-109619, sont apparues le 21 octobre, et d'un coup beaucoup d'équipes n'avaient aucune réponse rapide à un…
Deux failles PHP notées 9.2 sont tombées le 21 octobre, et les versions corrigées sont faciles à citer. La vraie question, c'est de savoir si tu peux prouver quel binaire répond aux requêtes, là, maintenant, sur chaque v…
Laravel 13.38.0 force les lectures vers la connexion d'écriture pendant deux secondes après une modification et ajoute DB::usingWritePdo() pour les requêtes de relations qui exigent des données à jour. Rule::unique() acc…
Un article publié sur Medium en octobre attribue à des travaux de Wiz et du modèle GPT-5.6 Sol d’OpenAI deux vulnérabilités PHP présumées critiques, CVE-2026–109618 et CVE-2026–109619. Il avance une note de 9,2, une exéc…
OpenAI a publié pour Codex un outil qui vérifie si un site révèle publiquement une version de PHP située dans la plage concernée. La compétence phpcheck-url fonctionne à partir d’une URL. phpcheck-server contrôle l’insta…
Le 21 octobre 2026, PHP a corrigé CVE-2026-109618 et CVE-2026-109619, deux failles critiques d’exécution de code à distance sans authentification, notées CVSS 9.2. Une configuration Wazuh communautaire surveille les proc…
Kevin Lopez soulève deux questions de sémantique dans le projet de RFC PHP sur le pattern matching. Les motifs de tableaux devraient distinguer une clé absente d'une valeur null explicite et s'appuyer sur array_key_exist…
OpenAI, Google et d'autres laboratoires d'IA utilisent des modèles de pointe pour repérer des vulnérabilités de PHP, préparer des exploits et vérifier les correctifs proposés. La crise actuelle concerne des failles struc…
Un message publié sur Reddit se présente comme une réponse venue de l’équipe sécurité de PHP aux affirmations qui circulent sur PHP2Shell. L’extrait disponible ne précise ni les déclarations contestées ni les versions de…
L’étude d’OffSeq analyse l’activité liée à PHP2Shell durant les 48 premières heures observées par son réseau de honeypots Mirage. Selon l’entreprise, PHP2Shell avait fuité avant la disponibilité du correctif. La première…
Les builds mis à jour de setup-php corrigent les vulnérabilités CVE-2026-109618 et CVE-2026-109619 dans PHP 5.3 à 8.7. Ils sont disponibles pour Linux, macOS et Windows, avec des rétroportages de sécurité pour les branch…
Petecooper a présenté ses excuses sur Hacker News après avoir publié un message sur les annonces PHP liées aux RCE CVE-2026-109618 et CVE-2026-109619. La personne affirme ne pas avoir été informée d’un embargo, car deux …
De nouvelles informations classent CVE-2026-109618 et CVE-2026-109619 parmi les failles critiques de l'exécution PHP, avec une note de 9,2 selon PHP. Les correctifs prévus concernent uniquement les branches 8.2 à 8.5. PH…
Deux failles du moteur notées 9.2, corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ont touché des serveurs dont le code applicatif était irréprochable. Kai défend une réponse culturelle : les équipes applicatives de…
Cet article Medium n’apporte aucun détail technique nouveau au-delà de l’avis PHP du 21 octobre et des versions corrigées déjà signalées. Il recommande de vérifier le runtime PHP qui sert réellement le site, notamment vi…
Composer 2.11.0-RC1 est disponible pour des tests avant la version stable. Cette préversion supprime le repli temporaire vers les sources et ajoute une période d'attente configurable pour les nouveaux paquets. Elle renfo…
Dans un article daté du 21 octobre 2026, Elias Taylor estime que la vulnérabilité PHP récemment discutée ne peut pas être exploitée de façon fiable contre une installation PHP intacte. Selon lui, des milliers de PoC sur …
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent CVE-2026-109618 et CVE-2026-109619. Ces failles touchent les interfaces PHP exposées au Web et peuvent permettre une exécution de code à distance sans authentification. Le r…
