PHP alerte sur une nouvelle vulnérabilité CVE-2026-115560 et des attaques persistantes

PHP a signalé une nouvelle vulnérabilité critique, CVE-2026-115560, le 23 octobre 2026, même si elle est jugée « improbable » en raison de configurations rares. Parallèlement, des attaques persistantes ciblant les vulnérabilités corrigées PHP2Shell (CVE-2026-109618 et CVE-2026-109619) continuent de menacer des milliers de sites web, incluant des plateformes comme la CNIL, DeviantArt et des services publics.

La vulnérabilité CVE-2026-115560 exploite des conditions spécifiques : la configuration session.serialize_handler doit être réglée sur php_binary ou php_serialize, la fonction ini_set() doit être utilisée en cours d’exécution, et la fonction session.upload_progress.enabled doit être activée. PHP ne publie pas de correctif d’urgence pour cette faille, mais recommande de désactiver session.upload_progress.enabled=0 dans le fichier php.ini pour se prémunir, quels que soient les risques liés à cette vulnérabilité.

Les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent les failles PHP2Shell, mais pas CVE-2026-115560. Les experts soulignent que les mesures de sécurité recommandées (désactivation de session.upload_progress.enabled) sont déjà pertinentes pour limiter les risques liés à PHP2Shell, qui reste une cible active. Des observations d’Amazon, Cloudflare et Wordfence indiquent que des centaines de milliers de sites web sont actuellement sous attaque via ces vulnérabilités corrigées.

PHP prévient que les correctifs complets pour CVE-2026-115560 arriveront avec la prochaine version de maintenance, dont la date n’est pas encore annoncée. Les administrateurs sont invités à mettre à jour leurs serveurs vers les versions corrigées de PHP et à appliquer les mesures de sécurité immédiatement, même si aucune exploitation de la nouvelle vulnérabilité n’a été confirmée à ce jour. Les attaques persistantes sur PHP2Shell, en revanche, ont déjà provoqué des pannes massives, confirmant l’urgence de la situation.

Sources

• Source 1

À très vite sur l’EternoStation.