Le bulletin signale deux vulnérabilités critiques dans PHP, référencées CVE-2026-109618 et CVE-2026-109619. Publié le 20 octobre 2026, il précise que l’éditeur ne prend plus en charge les branches PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x. Les détails techniques des failles ne sont pas encore disponibles dans le bulletin.

Le niveau de gravité est critique. Les deux vulnérabilités ont chacune un score CVSS de 9,2 et pourraient permettre à un attaquant distant non authentifié d’exécuter du code sur un système vulnérable.

Les systèmes concernés sont les applications et équipements utilisant les versions de PHP visées, notamment les branches qui ne sont plus maintenues. Le bulletin indique que PHP prévoyait de publier des correctifs le 21 octobre 2026.

Il est recommandé d’identifier les applications et serveurs utilisant PHP, d’isoler les équipements concernés et de préparer l’application des correctifs dès leur disponibilité. Il convient également de migrer vers une version maintenue de PHP et de la mettre à jour avec les derniers correctifs de sécurité.

En l’absence de correctif ou de mesures de réduction du risque, ces vulnérabilités pourraient permettre l’exécution de code à distance sans authentification et entraîner la compromission des systèmes hébergeant des applications PHP.

En conclusion, cette alerte nécessite une prise en charge rapide : recensez les systèmes concernés, limitez leur exposition et planifiez leur migration ou leur mise à jour dès que les versions corrigées sont disponibles.