Des failles critiques de PHP permettent de prendre le contrôle du serveur sans authentification ; PHP publie des correctifs d'urgence le 21 octobre — tous les sites doivent mettre à jour immédiatement
PHP a officiellement publié le 21 octobre les versions d'urgence 8.5.12, 8.4.27, 8.3.36 et 8.2.35, corrigeant deux failles critiques (CVE-2026-109618 et CVE-2026-109619, surnommées PHP2Shell) qui permettent à un attaquant d'exécuter du code arbitraire sur le serveur avec une requête piégée — sans authentification. On estime que 70 % des sites web tournent sous PHP, dont WordPress, Drupal et Magento ; OpenAI affirme que la société de sécurité Calif a découvert ces failles avec GPT-5.6 Sol dans le cadre de son initiative Patch the Planet. C'est important car la faille se situe dans le moteur PHP lui-même, donc aucune protection au niveau du site ne suffit — la position officielle est que la mise à jour est la seule correction complète.
SOURCES
- 宝玉 (Baoyu)2026-10-21 15:50
- OpenAI2026-10-21 14:04
- IT之家2026-10-21 08:00
- LinuxDo2026-10-21 03:00
- IT之家2026-10-21 13:23