PHP · Sécurité
Deux failles PHP critiques pourraient être révélées le 22 octobre
Un message publié sur Hacker News annonce pour le 22 octobre 2026 à 18 h CEST une communication PHP sur deux failles d'exécution de code à distance, chacune créditée d'un score CVSS de 10.0.
Les identifiants cités sont CVE-2026-109618 et CVE-2026-109619. L'auteur n'apporte aucune preuve. Des commentaires évoquent le cœur de PHP et des correctifs limités à PHP 8.
La publication cite CVE-2026-109618 et CVE-2026-109619 comme identifiants réservés pour deux vulnérabilités PHP. Une annonce serait prévue le 22 octobre 2026 à 18 h CEST. Le message leur attribue un score CVSS de 10.0 et les décrit comme des failles permettant une exécution de code à distance.
L'auteur affirme tenir l'information d'une source fiable, sans fournir d'élément permettant de la vérifier. Selon son message, la version concernée remonterait jusqu'à PHP 5. Un commentaire ultérieur situe les problèmes dans le cœur de PHP et affirme que seule la branche PHP 8 devrait être corrigée. Ces précisions viennent de la discussion Hacker News, pas du message initial.
Un participant a d'abord confondu ces références avec CVE-2026-9618 et CVE-2026-9619. Ces deux entrées concernent des extensions WordPress et ne décrivent pas des failles RCE. Un autre commentaire renvoie vers une annonce de PHP datée du 20 octobre 2026 et vers un avis de CERT-EU. Cet avis recommande d'envisager l'isolement des applications accessibles depuis Internet lorsque l'application immédiate d'un correctif est impossible. Des informations techniques supplémentaires étaient annoncées pour 14 h UTC le lendemain, avec un calendrier encore susceptible d'évoluer.
Tribune des lecteurs
Pas encore de contributions — lance le débat.
Lance la discussion
Pas de compte ni de mot de passe — saisis simplement ton adresse e-mail et nous t’envoyons un lien de connexion à usage unique. Première visite ? Tout se met en place automatiquement.
Ton évaluation sera appliquée automatiquement après ta connexion.
Vérifie ta boîte mail
Nous avons envoyé un lien de connexion à …. Ouvre-le sur cet appareil — cet onglet te connectera automatiquement.
Rien reçu ? Vérifiez le dossier spam — et marquez le message « Non spam » pour qu'il arrive directement la prochaine fois.