Il existerait une troisième faille mémoire dans PHP, mais les mainteneurs du langage de programmation ne voient aucune raison de s’alarmer. Un correctif arrivera avec la prochaine version.
Les journées sont chargées pour l’équipe de sécurité du langage de programmation PHP. Deux failles ont provoqué une panique mondiale la semaine dernière, mais il en existe aussi une troisième. PHP a communiqué vendredi de plus amples informations à ce sujet. Selon PHP, il n’y a pas lieu de s’alarmer.
La troisième faille, suivie sous la référence CVE-2026-115560, concerne elle aussi la mémoire. Selon PHP, elle est toutefois nettement moins dangereuse et un correctif d’urgence, comme la semaine dernière, n’est pas nécessaire. Une exploitation n’est possible que « via une combinaison exceptionnelle de configurations et de code », écrit PHP dans son avis de sécurité.
Un correctif pour cette faille ne sera donc déployé qu’avec la prochaine version. D’ici là, selon PHP, il suffit de vérifier que le paramètre spécifique session.upload_progress.enabled est bien réglé sur « 0 » et, dans ce cas, de n’y surtout pas toucher. La même mesure d’atténuation avait déjà été recommandée pour les failles précédentes avant la disponibilité du correctif.
PHPShell continue de faire des vagues
En attendant, on ignore encore quel sera l’impact des failles « PHP2Shell ». La surface d’attaque potentielle est vaste : on estime qu’environ 70 % de tous les sites web utilisent du code PHP. Cela ne signifie pas pour autant que tous ces sites disposent d’instances vulnérables ou accessibles via internet.
Les failles auraient toutefois déjà été sondées et/ou exploitées avant le déploiement du correctif. Selon Amazon, dès quatre jours avant la publication du correctif. La société de sécurité Chainguard a de son côté diffusé de son propre chef davantage d’informations, ce que PHP n’a pas apprécié. L’organisation derrière le langage de programmation est elle aussi critiquée, car elle connaissait au moins une des failles depuis 2024.
Jusqu’ici, aucun incident majeur n’est à signaler et on ne peut qu’espérer que cela dure. Quelques chercheurs indépendants affirment que le correctif d’urgence de PHP est incomplet pour éliminer totalement le danger. PHP n’est pas d’accord. La course ne commence d’ailleurs vraiment qu’au moment où un correctif est disponible, car les administrateurs doivent l’installer à temps.