CERTFR-2026-ALE-014
Vulnerability from certfr_alerte - Published: 2026-10-21 - Updated: 2026-10-21
Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). Pour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l'éditeur n'assure plus le support, le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.
Contournement provisoire
Ces contournements provisoires ne sont pas qualifiés par le CERT-FR :
- appliquer la configuration suivante dans le fichier
php.ini:
session.upload_progress.enabled = Off
Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit :
php_admin_flag[session.upload_progress.enabled] = off
La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Il est à noter que cette mesure d'atténuation ne réduit la surface d'attaque que contre l'une des deux vulnérabilités.
- bloquer toutes requêtes HTTP dont l'en-tête contient un Content-Type positionné à la valeur multipart. Si le blocage ne peut être appliqué, il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête.
Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall).
| Title | Publication Time | Tags | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
|
|||||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [
{
"description": "PHP toutes versions 6.x",
"product": {
"name": "PHP",
"vendor": {
"name": "PHP",
"scada": false
}
}
},
{
"description": "PHP toutes versions 7.x",
"product": {
"name": "PHP",
"vendor": {
"name": "PHP",
"scada": false
}
}
},
{
"description": "PHP toutes versions 8.x",
"product": {
"name": "PHP",
"vendor": {
"name": "PHP",
"scada": false
}
}
},
{
"description": "PHP toutes versions 5.x",
"product": {
"name": "PHP",
"vendor": {
"name": "PHP",
"scada": false
}
}
}
],
"affected_systems_content": "",
"closed_at": null,
"content": "## Contournement provisoire\n\nCes contournements provisoires ne sont pas qualifi\u00e9s par le CERT-FR :\n\n1. appliquer la configuration suivante dans le fichier \u003ccode\u003ephp.ini\u003c/code\u003e :\n```\nsession.upload_progress.enabled = Off\n```\n\nSi le processus PHP-FPM s\u0027ex\u00e9cute, il sera aussi n\u00e9cessaire de modifier la variable \u003ccode\u003ephp_admin_flag\u003c/code\u003e comme suit :\n```\nphp_admin_flag[session.upload_progress.enabled] = off\n```\n\nLa cons\u00e9quence sera la d\u00e9sactivation de la fonctionnalit\u00e9 PHP *upload-progress*. Il est \u00e0 noter que cette mesure d\u0027att\u00e9nuation ne r\u00e9duit la surface d\u0027attaque que contre l\u0027une des deux vuln\u00e9rabilit\u00e9s.\n\n2. bloquer toutes requ\u00eates HTTP dont l\u0027en-t\u00eate contient un *Content-Type* positionn\u00e9 \u00e0 la valeur *multipart*.\nSi le blocage ne peut \u00eatre appliqu\u00e9, il est fortement recommand\u00e9 d\u0027appliquer une politique de supervision pour ce type de requ\u00eate.\n\nCes mesures peuvent \u00eatre r\u00e9alis\u00e9es au niveau d\u0027un pare-feu applicatif (*Web Application Firewall*).",
"cves": [
{
"name": "CVE-2026-109619",
"url": "https://www.cve.org/CVERecord?id=CVE-2026-109619"
},
{
"name": "CVE-2026-109618",
"url": "https://www.cve.org/CVERecord?id=CVE-2026-109618"
}
],
"initial_release_date": "2026-10-21T00:00:00",
"last_revision_date": "2026-10-21T00:00:00",
"links": [
{
"title": "Fiche r\u00e9flexe : Compromission d\u0027un \u00e9quipement de bordure r\u00e9seau - Endiguement",
"url": "https://cert.cyber.gouv.fr/fiche/CERTFR-2025-RFX-002/"
},
{
"title": "Communication du CERT-EU",
"url": "https://cert.europa.eu/publications/security-advisories/2026-018/"
}
],
"reference": "CERTFR-2026-ALE-014",
"revisions": [
{
"description": "Version initiale",
"revision_date": "2026-10-21T00:00:00.000000"
}
],
"risks": [
{
"description": "Non sp\u00e9cifi\u00e9 par l\u0027\u00e9diteur"
}
],
"summary": "Le 20 octobre 2026, PHP a publi\u00e9 une communication concernant deux vuln\u00e9rabilit\u00e9s critiques. L\u0027\u00e9diteur annonce la disponibilit\u00e9 des correctifs de s\u00e9curit\u00e9 pour le 21 octobre 2026 \u00e0 16h00 heure de Paris (14h00 UTC).\nPour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l\u0027\u00e9diteur n\u0027assure plus le support, le CERT-FR recommande d\u0027isoler les \u00e9quipements affect\u00e9s puis de proc\u00e9der \u00e0 la migration vers une version maintenue et avec les derniers correctifs de s\u00e9curit\u00e9 d\u00e8s publication du correctif \u00e9diteur.",
"title": "Multiples vuln\u00e9rabilit\u00e9s dans PHP",
"vendor_advisories": [
{
"published_at": "2026-10-20",
"title": "Communication de PHP",
"url": "https://www.php.net/archive/2026.php#2026-10-20-1"
}
]
}
Drag nodes to arrange them. Double-click a related vulnerability to open it, or a source to visit its link. The Physics button on the left tunes the layout and the simulation; the legend at the bottom left hides or shows nodes by kind and by sighting type.
Sightings
| Author | Source | Type | Date | Other |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or observed by the user.
- Confirmed: The vulnerability has been validated from an analyst's perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
- Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
- Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
- Not confirmed: The user expressed doubt about the validity of the vulnerability.
- Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.
Vulnerability timeline
Sightings and recorded dates, grouped by day · UTC
Loading timeline…
The approach is described in our paper Mapping CVEs to MITRE ATT&CK Techniques: A Curated Gold-Set Classifier and the Limits of LLM-Assisted Label Expansion.
Browse all ATT&CK techniques and the vulnerabilities related to each.
Related by attack behaviour
Vulnerabilities whose description is nearest to this one in the vector space of the CIRCL/vulnerability-attack-technique-biencoder model. This is a similarity search over the bi-encoder space (plain cosine), not a classification, and it has no measured accuracy.