CVE-2026-109618 : vulnérabilité de corruption mémoire PHP

Selon Rapid7, le 21 octobre 2026, le projet PHP a annoncé des versions de sécurité pour deux vulnérabilités critiques dans PHP[3]. Rapid7 rapporte que CVE-2026-109618 peut corrompre la mémoire lors de la gestion des conditions de manque de mémoire (OOM)[3], et que les deux failles ont un score CVSSv4 de 9,2[3].watchTowr rapporte que les détails ont fui sur les réseaux sociaux avant la date de divulgation prévue du 22 octobre[1]. Selon Sansec, Cloudflare a signalé des attaques précoces à 07:43 UTC le 21 octobre, avant la sortie de 14:00 UTC.[2]Le groupe PHP, selon Plesk, estime que le risque est le plus élevé pour mod_php, avec une exploitation démontrée où une requête non authentifiée peut déclencher l'attaque avant l'exécution de tout code d'application.[4] Sansec déclare que le gestionnaire de progression de téléchargement de PHP peut retourner de la mémoire worker libérée au client à l'intérieur d'un cookie de réponse PHPSESSID.[2]Rapid7 déclare que les exploits de preuve de concept publics ne fonctionnent chacun que contre des configurations particulières, et que « aucun ne semble être largement fiable. »[3] Sansec rapporte que les exploits publics ne fonctionnent pas contre une installation PHP par défaut.[2]Selon AWS, la mise à niveau immédiate vers une version PHP corrigée est le seul correctif complet : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.[5] Rapid7 rapporte que PHP a fourni des rétroportages de source limités pour PHP 7.4, 8.0 et 8.1.[3]Cortex Xpanse de Palo Alto Networks déclare avoir trouvé plus de 22,6 millions d'instances exposées potentiellement vulnérables[6]. watchTowr a rapporté que au 22 octobre 2026, la CISA n'a ajouté aucun des deux CVE à son catalogue des vulnérabilités exploitées connues.[1]