Alerte vulnérabilité PHP

Pause Café
, , ,
1

Bonjour

Il y a un vulnérabilité majeure critique depuis ce matin sur PHP.
https://www.cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/

Je vous conseille une mise à jour immédiate.
la faille est exploitée et elle permet de l’exécution de code à distance.

C’est poru ça que des centaines de sites et même plus ont été en maintenance aujourd’hui, dont les impôts par exemple :slight_smile:

2

Pour ceux qui sont tenus d’avoir un php 7.4 (présence d’un owncloud par exemple) obsolète et sans correctif, la faille nécessite que session.upload_progress.enabled soit effectif (cas par défaut), une rustine consiste donc à désactiver ça. Il suffit de faire un fichier
/etc/apache2/conf-available/rustine.conf
contenant

<IfModule mod_php7.c>
    php_admin_flag session.upload_progress.enabled off
</IfModule>

et d’activer la configuration

a2enconf rustine

puis de redémarrer apache2

systemctl restart apache2

Attention, c’est une rustine, efficace peut être mais rustine quand même

3

Il y a 4 ans, Owncloud s’était engagé à faire évoluer PHP 7.4.x pour la sécurité, regarde s’ils ont publié quelque chose suite à l’annonce de cette faille ?

4

Le dépôt sury (extrepo) est à jour, avec des patchs correctifs remontant jusqu’à PHP 5.6.40, je suis à peu près sûr que tu trouveras la 7.4 patchée.

1 « J'aime »
5

Attention cette remédiation est indiquée mais non soutenue par le CERT.
Elle ne peut garantir une réelle protection et nécessite de devoir migrer.

A vérifier, car l’exploitation de ces deux vulnérabilités est actif et le risque est très critique.

6

Oui, il y a une version php7.4 mais les CVE concernées ne sont pas dans le changelog. Bon, j’ai fait les choses suivantes:

  • Ma rustine
  • le php7.4 patché de sury (au cas où je me gourre)
  • une surveillance (qui existait déjà) d’intégrité régulière
  • Une règle fail2ban bannissant 1 journée dès 3 tentatives de piratage en une heure

Je suis serein mais le passage à nextcloud est à envisager qd j’aurais une journée devant moi

Rq: les CVE corrigées sont les suivantes:
CVE-2026-17543
CVE-2026-17545
CVE-2026-6103
CVE-2026-6722
CVE-2026-7258
CVE-2026-7261
CVE-2026-7262
CVE-2026-7568
CVE-2026-91765
CVE-2026-91766
CVE-2026-91767
CVE-2026-91768
CVE-2026-91769
CVE-2026-92842
CVE-2026-9672

et donc les CVE-2026-109618 et CVE-2026-109619 ne sont pas corrigées

7

Oui elles sont clairement exclues pour les versions 5.x, 6.x, et 7.x

8

Quelqu’un pour m’expliquer ce qu’est cette histoire de chiffre 4 mentionné « partout » alors qu’il y a deux failles annoncées ?!

Un, deux, voire trois mêmes pour l’exemple :

image
image584×389 60.1 KB

image
image587×392 74.6 KB

image
image480×480 32.7 KB

9

l’alerte CERTFR indique deux CVEs:
CERTFR-2026-ALE-014
→ CVE-2026-109618
→ CVE-2026-109619

Il y a aussi un avis sur lequel s’est basé l’alerte:
CERTFR-2026-AVI-1359

On pourrait dire que ca fait 4, deux CVE → 1 AVIS → 1 Alerte
Le reste c’est le bordel internet habituel.

10

d’après https://www.php.net/
memory_limit=-1
faible post_max_size : post_max_size = 8M si possible,
upload_max_filesize < post_max_size
Do not substitute RLIMIT_AS or RLIMIT_DATA
session.upload_progress.enabled=0
PHP 8.5, : fatal_error_backtraces=0

Remove invalid or deprecated settings applied per request that emit diagnostics before initialization

Fix attacker-reachable fatal errors and execution timeouts, including failures in callbacks, upload or import processing and cleanup

https://cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1359/

11

Si ce n’est que ça ne corrige pas le problème, ça réduit juste la surface d’attaque.

Donc il faut patcher.