Faille du 3 novembre 2026 · CVE-2026-109619

PHP Utilisation après libération (use after free)

8,1 CVSS · élevéeExploitée

Utilisation après libération (use after free) dans PHP. Exploitable à distance par le réseau, sans authentification, sans action de l’utilisateur. CVSS 8,1 (gravité élevée). Selon la CISA, elle est déjà exploitée. Corrigée dans 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Avis de sécurité de l’éditeur

github.com · Les informations de l’éditeur font foi.

En bref

CVE

CVE-2026-109619

Produit

PHP

Éditeur

The PHP Group

Versions concernées

≥ 8.2.0, < 8.2.35
≥ 8.3.0, < 8.3.36
≥ 8.4.0, < 8.4.27
≥ 8.5.0, < 8.5.12

selon l’éditeur ou l’émetteur de la CVE

Corrigé dans

8.2.35, 8.3.36, 8.4.27, 8.5.12

CVSS

8,1 (élevée)
CVSS 3.1, évalué par la NVD
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitée

Oui, selon la CISA (dans le catalogue KEV depuis le 26 octobre 2026)

Type de faille

CWE-416 (Utilisation après libération (use after free)), CWE-755, CWE-824, CWE-1325

Publiée le

21 octobre 2026

Modifiée le

2 novembre 2026

Que faire ?

Mettre à jour vers une version corrigée : 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ou plus récente, selon la branche utilisée.
Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.

Avis de sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
Intitulé à la CISA : PHP Stale Internal Request-State Vulnerability

Références officielles

github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rpContournementAvis de l’éditeur
arcticwolf.com/resources/blog/php2shell-critical-php-vulnerabilities-enable-unauthenticated-remote-code-executionAvis tiers
cert-portal.siemens.com/productcert/html/ssa-166980.htmlAvis tiers
cert-portal.siemens.com/productcert/html/ssa-566435.htmlAvis tiers
cert-portal.siemens.com/productcert/html/ssa-566512.htmlAvis tiers
php2shell.delftintellab.comAvis tiers
cisa.gov/known-exploited-vulnerabilities-catalogAdministration US
wiz.io/blog/php2shell-php-rceAvis tiers

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 3 novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement