# Alerte vulnérabilité PHP

**URL:** <https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071>\
**Category:** Pause Café\
**Tags:** securité, certfr, php, vulenrabilité\
**Created:** [Octobre 21, 2026, 6:09 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071 "2026-10-21T18:09:07Z")\
**Posts on this page:** 11\
**Page:** 1

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Octobre 21, 2026, 6:09 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/1 "2026-10-21T18:09:07Z")

</div>

Bonjour

Il y a un vulnérabilité majeure critique depuis ce matin sur PHP.  
[https://www.cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/](https://www.cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/)

Je vous conseille une mise à jour immédiate.  
la faille est exploitée et elle permet de l’exécution de code à distance.

C’est poru ça que des centaines de sites et même plus ont été en maintenance aujourd’hui, dont les impôts par exemple 🙂

---

<div class="post-metadata">

**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\
**Post date:** [Octobre 21, 2026, 7:00 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/2 "2026-10-21T19:00:15Z")

</div>

Pour ceux qui sont tenus d’avoir un php 7.4 (présence d’un owncloud par exemple) obsolète et sans correctif, la faille nécessite que session.upload\_progress.enabled soit effectif (cas par défaut), une rustine consiste donc à désactiver ça. Il suffit de faire un fichier  
/etc/apache2/conf-available/rustine.conf  
contenant

```auto
<IfModule mod_php7.c>
    php_admin_flag session.upload_progress.enabled off
</IfModule>
```

et d’activer la configuration

```auto
a2enconf rustine
```

puis de redémarrer apache2

```auto
systemctl restart apache2
```

Attention, c’est une rustine, efficace peut être mais rustine quand même

---

<div class="post-metadata">

**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\
**Post date:** [Octobre 22, 2026, 4:23 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/3 "2026-10-22T04:23:54Z")

</div>

Il y a 4 ans, Owncloud s’était engagé à faire évoluer PHP 7.4.x pour la sécurité, regarde s’ils ont publié quelque chose suite à l’annonce de cette faille ?

> **[Announcement: ownCloud 10 and PHP Versions](https://central.owncloud.org/t/announcement-owncloud-10-and-php-versions/40251)**
>
> ownCloud will continue to deliver a Docker Container with maintained and secured PHP 7.4 and its application to all our administrators worldwide. Operating system vendors and professional PHP support companies around the globe have announced that...

---

<div class="post-metadata">

**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\
**Post date:** [Octobre 22, 2026, 4:43 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/4 "2026-10-22T04:43:27Z")

</div>

Le dépôt sury (`extrepo`) est à jour, avec des patchs correctifs remontant jusqu’à PHP 5.6.40, je suis à peu près sûr que tu trouveras la 7.4 patchée.

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Octobre 22, 2026, 9:14 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/5 "2026-10-22T09:14:20Z")

</div>

Attention cette remédiation est indiquée mais non soutenue par le CERT.  
Elle ne peut garantir une réelle protection et nécessite de devoir migrer.

> [@Thierz](#):
>
> à peu près sûr que tu trouveras la 7.4 patchée.

A vérifier, car l’exploitation de ces deux vulnérabilités est actif et le risque est très critique.

---

<div class="post-metadata">

**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\
**Post date:** [Octobre 22, 2026, 9:34 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/6 "2026-10-22T09:34:24Z")

</div>

Oui, il y a une version php7.4 mais les CVE concernées ne sont pas dans le changelog. Bon, j’ai fait les choses suivantes:

- Ma rustine
- le php7.4 patché de sury (au cas où je me gourre)
- une surveillance (qui existait déjà) d’intégrité régulière
- Une règle fail2ban bannissant 1 journée dès 3 tentatives de piratage en une heure

Je suis serein mais le passage à nextcloud est à envisager qd j’aurais une journée devant moi

Rq: les CVE corrigées sont les suivantes:  
CVE-2026-17543  
CVE-2026-17545  
CVE-2026-6103  
CVE-2026-6722  
CVE-2026-7258  
CVE-2026-7261  
CVE-2026-7262  
CVE-2026-7568  
CVE-2026-91765  
CVE-2026-91766  
CVE-2026-91767  
CVE-2026-91768  
CVE-2026-91769  
CVE-2026-92842  
CVE-2026-9672

et donc les CVE-2026-109618 et CVE-2026-109619 ne sont pas corrigées

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Octobre 22, 2026, 9:45 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/7 "2026-10-22T09:45:11Z")

</div>

> [@fran.b](#):
>
> et donc les CVE-2026-109618 et CVE-2026-109619 ne sont pas corrigées

Oui elles sont clairement exclues pour les versions 5.x, 6.x, et 7.x

---

<div class="post-metadata">

**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\
**Post date:** [Octobre 22, 2026, 10:01 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/8 "2026-10-22T10:01:40Z")

</div>

Quelqu’un pour m’expliquer ce qu’est cette histoire de chiffre 4 mentionné «&nbsp;partout&nbsp;» alors qu’il y a deux failles annoncées ?!

Un, deux, voire trois mêmes pour l’exemple :

 ![image](https://www.debian-fr.org/uploads/default/original/2X/9/975b8c49a820467c97755c852ff67565333766d8.jpeg)

 ![image](https://www.debian-fr.org/uploads/default/original/2X/c/c1ca1fd008291e5230802e8233eed5f3061a165b.jpeg)

 ![image](https://www.debian-fr.org/uploads/default/original/2X/0/0f757a39b23d4764c9d443a0d923d727608ce44c.jpeg)

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Octobre 22, 2026, 10:08 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/9 "2026-10-22T10:08:37Z")

</div>

l’alerte CERTFR indique deux CVEs:  
[CERTFR-2026-ALE-014](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/)  
 → [CVE-2026-109618](https://www.cve.org/CVERecord?id=CVE-2026-109618)  
 → [CVE-2026-109619](https://www.cve.org/CVERecord?id=CVE-2026-109619)

Il y a aussi un avis sur lequel s’est basé l’alerte:  
[CERTFR-2026-AVI-1359](https://cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1359/)

On pourrait dire que ca fait 4, deux CVE → 1 AVIS → 1 Alerte  
Le reste c’est le bordel internet habituel.

---

<div class="post-metadata">

**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\
**Post date:** [Octobre 22, 2026, 12:04 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/10 "2026-10-22T12:04:41Z")

</div>

d’après [https://www.php.net/](https://www.php.net/)  
`memory_limit=-1`  
faible `post_max_size` : `post_max_size = 8M` si possible,  
`upload_max_filesize` \< `post_max_size`  
Do not substitute `RLIMIT_AS` or `RLIMIT_DATA`  
`session.upload_progress.enabled=0`  
PHP 8.5, : `fatal_error_backtraces=0`

Remove invalid or deprecated settings applied per request that emit diagnostics before initialization

Fix attacker-reachable fatal errors and execution timeouts, including failures in callbacks, upload or import processing and cleanup

* * *

[https://cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1359/](https://cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1359/)

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Octobre 22, 2026, 1:27 UTC](https://www.debian-fr.org/t/alerte-vulnerabilite-php/93071/11 "2026-10-22T13:27:09Z")

</div>

Si ce n’est que ça ne corrige pas le problème, ça réduit juste la surface d’attaque.

Donc il faut patcher.