{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"PHP toutes versions 6.x","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP toutes versions 8.0.x","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP versions 8.2.x ant\u00e9rieures \u00e0 8.2.35","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP versions 8.5.x ant\u00e9rieures \u00e0 8.5.12","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP toutes versions 8.1.x","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP toutes versions 7.x","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP versions 8.4.x ant\u00e9rieures \u00e0 8.4.27","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP versions 8.3.x ant\u00e9rieures \u00e0 8.3.36","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}},{"description":"PHP toutes versions 5.x","product":{"name":"PHP","vendor":{"name":"PHP","scada":false}}}],"affected_systems_content":"","closed_at":null,"content":"## Contournement provisoire\n\nCes contournements provisoires ne sont pas qualifi\u00e9s par le CERT-FR :\n\n1. appliquer la configuration suivante dans le fichier <code>php.ini</code> :\n\n```\nsession.upload_progress.enabled = Off\n```\n\nSi le processus PHP-FPM s'ex\u00e9cute, il sera aussi n\u00e9cessaire de modifier la variable <code>php_admin_flag</code> comme suit :\n\n```\nphp_admin_flag[session.upload_progress.enabled] = off\n```\n\nLa cons\u00e9quence sera la d\u00e9sactivation de la fonctionnalit\u00e9 PHP upload-progress. Il est \u00e0 noter que cette mesure d'att\u00e9nuation ne r\u00e9duit la surface d'attaque que contre l'une des deux vuln\u00e9rabilit\u00e9s.\n\n2. bloquer toutes requ\u00eates HTTP dont l'en-t\u00eate contient un *Content-Type* positionn\u00e9 \u00e0 la valeur *multipart*.\nSi le blocage ne peut \u00eatre appliqu\u00e9, il est fortement recommand\u00e9 d'appliquer une politique de supervision pour ce type de requ\u00eate.\n\nCes mesures peuvent \u00eatre r\u00e9alis\u00e9es au niveau d'un pare-feu applicatif (*Web Application Firewall*).\n\n## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l'\u00e9diteur pour l'obtention des correctifs (cf. section Documentation).","cves":[{"name":"CVE-2026-109619","url":"https://www.cve.org/CVERecord?id=CVE-2026-109619"},{"name":"CVE-2026-109618","url":"https://www.cve.org/CVERecord?id=CVE-2026-109618"}],"links":[{"title":"Bulletin de s\u00e9curit\u00e9 PHP GHSA-6wmf-4rv5-p3rp","url":"https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp"},{"title":"Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026","url":"/avis/CERTFR-2026-AVI-1359/"},{"title":"Fiche r\u00e9flexe : Compromission d'un \u00e9quipement de bordure r\u00e9seau - Endiguement","url":"https://cert.cyber.gouv.fr/fiche/CERTFR-2025-RFX-002/"},{"title":"Bulletin de s\u00e9curit\u00e9 PHP GHSA-w8hw-w9fx-j79w","url":"https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w"},{"title":"Communication du CERT-EU","url":"https://cert.europa.eu/publications/security-advisories/2026-018/"}],"reference":"CERTFR-2026-ALE-014","revisions":[{"description":"Version initiale","revision_date":"2026-10-21T00:00:00.000000"},{"description":"Mises \u00e0 jour des risques, des syst\u00e8mes affect\u00e9s et ajout des correctifs de s\u00e9curit\u00e9","revision_date":"2026-10-21T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"<span class=\"important-content\">**[Mise \u00e0 jours du 21 octobre 2026]**</span><br/>\nLes correctifs de s\u00e9curit\u00e9 sont disponibles sur le site de l'\u00e9diteur. PHP indique que les vuln\u00e9rabilit\u00e9s CVE-2026-109618 et CVE-2026-109619 permettent \u00e0 un attaquant de provoquer une ex\u00e9cution de code arbitraire \u00e0 distance.\n\n**[Publication Initiale]**<br/>\nLe 20 octobre 2026, PHP a publi\u00e9 une communication concernant deux vuln\u00e9rabilit\u00e9s critiques. L'\u00e9diteur annonce la disponibilit\u00e9 des correctifs de s\u00e9curit\u00e9 pour le 21 octobre 2026 \u00e0 16h00 heure de Paris (14h00 UTC).\nPour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l'\u00e9diteur n'assure plus le support. \n\nLe CERT-FR recommande d'isoler les \u00e9quipements affect\u00e9s puis de proc\u00e9der \u00e0 la migration vers une version maintenue et avec les derniers correctifs de s\u00e9curit\u00e9 d\u00e8s publication du correctif \u00e9diteur.","title":"[M\u00e0j] Multiples vuln\u00e9rabilit\u00e9s dans PHP","vendor_advisories":[{"published_at":"2026-10-21","title":"Bulletin de s\u00e9curit\u00e9 PHP","url":"https://www.php.net/index.php#2026-10-21-2"},{"published_at":"2026-10-21","title":"Bulletin de s\u00e9curit\u00e9 PHP","url":"https://www.php.net/index.php#2026-10-21-3"},{"published_at":"2026-10-21","title":"Bulletin de s\u00e9curit\u00e9 PHP","url":"https://www.php.net/index.php#2026-10-21-1"},{"published_at":"2026-10-21","title":"Bulletin de s\u00e9curit\u00e9 PHP","url":"https://www.php.net/index.php#2026-10-21-4"},{"published_at":"2026-10-20","title":"Communication de PHP","url":"https://www.php.net/archive/2026.php#2026-10-20-1"}]}