PHP publiera ce mercredi 21 octobre à 16 h une mise à jour d’urgence pour corriger deux failles critiques. C’est une fuite qui a précipité l’annonce, et les anciennes versions du langage pourraient rester sans correctif.
1 « J'aime »
Précision importante : Il semble que la faille touche les serveurs php windows. Autant te dire, peu de monde.
source: monculsurlacommode.skyblog.fr
1 « J'aime »
Si c’était le cas, je pense que la fondation PHP l’aurait précisé, plutôt que de mettre tout le monde en alerte.
1 « J'aime »
Les détails des deux failles sont publiées, pour aucun des deux ça indique que ça serait spécifique à Windows :
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
Le communiqué côté fondation PHP indique en outre que les patchs avaient été transmis en avance de phase aux principales distributions Linux, ce qui confirme donc que ça concerne bien aussi les serveurs Linux :
https://www.php.net/archive/2026.php#2026-10-21-5
Redhat propose les packages mis à jour :
https://bugzilla.redhat.com/show_bug.cgi?id=2556842
Je doute fort que seules les versions Windows soient concernées.
Vous avez raison, je m’excuse.
Est-ce pour cela que certains sites sont inaccessible depuis hier ? Une maintenance de prévention ?
Oui, c’est ça, ils sont coupés le temps de mettre à jour la version de PHP et de valider que ça fonctionne bien avec la nouvelle version (ce qui peut prendre un certains temps et nécessiter des modifications pour les sites qui tournaient encore avec une vieille version de PHP).
Et la faille est désormais activement exploitée, donc ceux qui ne mettent pas à jour prennent des risques importants…
1 « J'aime »