Mise à jour de PHP Security Patch : régressions connues
- monitoring
Nous sommes au courant des rapports soulignant les régressions dans quelques-uns des patchs de sécurité officiels de PHP récents. Le groupe officiel PHP n'a pas encore publié de position officielle ni mis à jour de correctifs concernant ces rapports. Des mesures d'atténuation demeurent en place pour protéger les clients contre les voies d'attaque actuellement connues, et nous continuons de surveiller les développements futurs. Aucune action n'est nécessaire pour le moment. Les régressions actuellement connues sont: 1. RCE dépendant de la configuration: Une démonstration RCE rapportée affecte PHP 8.5.12 (qui peut également affecter les versions antérieures) dans des configurations spécifiques. Nous avons mis en place des mesures d'atténuation qui brisent la chaîne d'exploitation démontrée. Nos clients restent protégés contre cette trajectoire d'attaque spécifique. 2. Régression mémoire-sécurité : Un rapport de bogue séparé et vérifié identifie un problème potentiel double-libre affectant PHP 8.4.27 et 8.5.12, qui peut provoquer des accidents dans des conditions spécifiques. Il s'agit actuellement d'un problème de stabilité et de sécurité de la mémoire, et non d'un problème de sécurité critique (p. ex. exécution de code à distance). Nous surveillons la situation et continuerons de réagir rapidement aux nouveaux détails de vulnérabilité ou aux nouvelles techniques d'attaque au fur et à mesure qu'elles émergeront. Si vous avez des questions, veuillez contacter notre équipe de soutien.
- monitoring
Conseil PHP RCE (CVE-2026-115560) Suite au dernier avis de sécurité du groupe PHP (https://www.php.net/archive/2026.php#2026-10-23-1), le problème de l'exécution de code à distance dépendant de la configuration (RCE) mis en évidence dans notre précédente mise à jour a maintenant été attribué CVE-2026-115560. Comme nous l'avons indiqué dans notre mise à jour précédente, notre équipe de sécurité avait anticipé cette vulnérabilité de façon proactive et mis en œuvre des mesures d'atténuation avant que la vulnérabilité ne soit officiellement divulguée. Les mesures d'atténuation déjà en place sont conformes aux recommandations du dernier avis du groupe PHP. Les clients continuent d'être protégés contre le nouveau CVE-2026-115560. Aucune action n'est nécessaire pour le moment. Nous continuons à suivre les développements et adapterons nos protections au besoin.
Traduit automatiquement depuis la mise à jour officielle de l'incident.