La NSA met en garde contre deux failles critiques dans PHP et appelle à des mises à jour immédiates

L'Agence de sécurité nationale américaine (NSA) a mis en garde contre deux failles critiques dans le langage de programmation PHP qui pourraient permettre aux attaquants d'exécuter des commandes à distance et de prendre le contrôle des serveurs de sites web et d'applications, selon un rapport relayé par l'Agence de presse iraquienne.

Le rapport indique que l'avertissement a été publié mercredi, et identifie les deux failles par les codes (CVE-2026-109618) et (CVE-2026-109619), avec une note de gravité de 9,2 sur 10, précisant que le danger réside dans le fait que les failles se trouvent dans le langage PHP lui‑même et non dans des extensions ou des systèmes de gestion de contenu spécifiques.

Le rapport met en garde contre le fait que l'exploitation de ces vulnérabilités pourrait donner accès à des données sensibles telles que mots de passe, jetons de sécurité et clés d'API, et pourrait aussi permettre la manipulation du contenu des sites et l'accès aux informations des utilisateurs.

Des tests de sécurité ont montré qu'il est possible d'exploiter ces failles dans des environnements exécutant des systèmes de gestion de contenu comme WordPress, Drupal et Joomla, bien que les vulnérabilités ne se situent pas dans ces systèmes eux‑mêmes mais dans le langage sur lequel ils reposent.

Le rapport souligne que la découverte des failles a été réalisée avec la participation d'équipes de recherche spécialisées, dont les sociétés Kalif et Weiz, en collaboration avec l'équipe de développement de PHP et la société OpenAI, et indique que des outils d'intelligence artificielle ont contribué à l'analyse des bogues et à la détection des voies d'exploitation.

Il ajoute que certaines des erreurs à l'origine de ces deux failles remontent à plus de dix ans, mais que la complexité de leur exploitation a empêché que leur dangerosité soit découverte plus tôt.

L'équipe de développement de PHP a publié des correctifs de sécurité urgents pour résoudre les failles, couvrant les versions (8.5.12), (8.4.27), (8.3.36) et (8.2.35), et le rapport appelle les organisations et les propriétaires de sites à installer ces mises à jour immédiatement, avertissant que les mesures de mitigation temporaires n'offrent pas une protection complète.