Source · 73 jours de veille
Ce qui a été retenu de cette source, et sur quels thèmes. Chaque fiche est une synthèse originale et renvoie à l'article d'origine.
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques (CVE-2026-109618 et CVE-2026-109619, CVSS v4.0 9,2) qui permettent d'exécuter du code sans authentification, avec un risque maximal sous Apache et mod_php. Les contournements réduisent l'exposition sans protéger : seule la mise à jour compte, images Docker comprises. Une fuite de l'embargo le 20 octobre a fait avancer la sortie d'un jour.
L'équipe sécurité de PHP annonce une version corrective le mercredi 21 octobre 2026 à 14:00 UTC, qui traite deux failles critiques notées CVSS v4.0 9,2. Ni la nature des failles ni les versions touchées ne sont publiques : tout sortira avec le correctif, éventuellement plus tôt si les détails fuitent. D'ici là, on peut inventorier ses installations et savoir qui redéploie.
PHP 8.5.11, 8.4.26, 8.3.35 et 8.2.34, publiées le 24 septembre, corrigent onze failles communes aux quatre branches, douze pour 8.3 et 8.2. Deux touchent tout appel HTTPS passé par les flux natifs : la vérification du nom dans le certificat et la fuite d'identifiants lors d'une redirection. Le journal ne donne aucun score de gravité.
PHP 8.6.0 Beta 1 est disponible pour les tests. La bêta 2 est calée au 27 août 2026, ce qui laisse une fenêtre courte pour faire remonter les régressions avant la finale. L'équipe insiste : aucune mise en production, c'est une version de test.
veilletech.fr