Faille du 26 octobre 2026 · CVE-2026-109618

PHP Utilisation après libération (use after free)

9,8 CVSS · critiqueExploitée

Utilisation après libération (use after free) dans PHP. Exploitable à distance par le réseau, sans authentification, sans action de l’utilisateur. CVSS 9,8 (gravité critique). Selon la CISA, elle est déjà exploitée. Corrigée dans 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Avis de sécurité de l’éditeur

github.com · Les informations de l’éditeur font foi.

En bref

CVE

CVE-2026-109618

Produit

PHP

Éditeur

The PHP Group

Versions concernées

≥ 8.2.0, < 8.2.35
≥ 8.3.0, < 8.3.36
≥ 8.4.0, < 8.4.27
≥ 8.5.0, < 8.5.12

selon l’éditeur ou l’émetteur de la CVE

Corrigé dans

8.2.35, 8.3.36, 8.4.27, 8.5.12

CVSS

9,8 (critique)
CVSS 3.1, évalué par la NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitée

Oui, selon la CISA (dans le catalogue KEV depuis le 26 octobre 2026)

Type de faille

CWE-416 (Utilisation après libération (use after free)), CWE-755, CWE-824, CWE-1325

Publiée le

21 octobre 2026

Modifiée le

30 octobre 2026

Que faire ?

Mettre à jour vers une version corrigée : 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ou plus récente, selon la branche utilisée.
Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.

Avis de sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).
Intitulé à la CISA : PHP Memory Corruption Vulnerability

Références officielles

github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79wContournementAvis de l’éditeur
arcticwolf.com/resources/blog/php2shell-critical-php-vulnerabilities-enable-unauthenticated-remote-code-executionAvis tiers
cert-portal.siemens.com/productcert/html/ssa-566512.htmlAvis tiers
php2shell.delftintellab.comAvis tiers
cisa.gov/known-exploited-vulnerabilities-catalogAdministration US
wiz.io/blog/php2shell-php-rceAvis tiers
cert-portal.siemens.com/productcert/html/ssa-166980.html
cert-portal.siemens.com/productcert/html/ssa-566435.html

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 1er novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement