veilletech.frCe qui se passe
Le 20 octobre 2026, l'équipe sécurité de PHP a publié un préavis : une version de sécurité sortira le mercredi 21 octobre 2026 à 14:00 UTC. Elle corrige deux failles critiques, chacune notée 9,2 en CVSS v4.0. L'équipe demande à tous les utilisateurs de se préparer dès maintenant, et se réserve le droit de publier plus tôt si les détails d'une faille deviennent publics ou si une exploitation apparaît dans la nature.
Ce qu'on sait, et ce qu'on ignore
On ne connaît ni la nature des failles, ni les versions touchées, ni les versions corrigées : l'annonce promet tout cela avec la publication. Qualys relève que des rapports publics rattachent CVE-2026-109618 et CVE-2026-109619 à cette version ; PHP n'a confirmé ni ces identifiants ni aucun détail technique. À traiter comme une rumeur sérieuse, pas comme un fait.
Autour de PHP : Laravel indique que Forge et Cloud corrigeront leurs images de base, ce qui peut demander un redéploiement, et qu'ils cherchent un moyen de corriger sans redéployer. Le même jour, Node.js annonce aussi une version de sécurité, à une heure non confirmée.
Comment s'y préparer
- Lister les versions de PHP en production :
php -vsur chaque serveur, mais aussi les images Docker, les hébergements mutualisés et les environnements de CI. - Savoir qui peut redéployer ou reconstruire une image en urgence, et comment.
- À 14:00 UTC, ouvrir php.net, lire l'avis, vérifier si votre branche est touchée, puis mettre à jour sans attendre.
Inutile de deviner un contournement tant que l'avis n'est pas publié.
Source : PHP.net, 20 octobre 2026. Source en anglais. Compléments : Qualys, Laravel News.