tech
PHP signale une nouvelle faille d'exécution de code jugée improbable
PHP a signalé une nouvelle faille d'exécution de code jugée improbable le 23 octobre.
Key points
- La faille CVE-2026-115560 nécessite des réglages précis de session.serialize_handler et l'activation du suivi de progression des envois.
- PHP recommande de désactiver session.upload_progress.enabled dans le fichier php.ini pour pallier cette vulnérabilité.
- Amazon, Cloudflare et Wordfence rapportent des millions de tentatives d'attaques ciblant les failles PHP2Shell corrigées le 21 octobre.
Why it matters. L'exploitation de failles PHP a déjà contraint la CNIL, DeviantArt et OBS à fermer des sites, ainsi que des milliers de services publics.
L'équipe de sécurité de PHP a publié un avis informatif sur php.net ce vendredi 23 octobre concernant la faille CVE-2026-115560. Cette vulnérabilité d'exécution de code à distance nécessite trois conditions de configuration spécifiques pour être exploitée, rendant le scénario improbable selon PHP. Le projet ne prévoit pas de correctif d'urgence, contrairement aux failles PHP2Shell corrigées le 21 octobre via les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Latest updates
PHP signale une nouvelle faille d'exécution de code jugée improbable
Une nouvelle faille de sécurité a été signalée ce vendredi concernant le langage PHP. Elle permet l'exécution de code distant, mais ne touche qu'une configuration spécifique du logiciel. Les développeurs de PHP ont indiqué qu'aucun correctif d'urgence n'était prévu en raison de la faible probabilité d'exploitation. Cette annonce survient seulement deux jours après la découverte de la faille PHP2Shell.