Oct 21, 2026 · @iwaa_security
Deux failles critiques de PHP (score 9.2/10) permettent de prendre le contrôle d’un serveur web sans authentification. Les correctifs sont disponibles depuis le 21 octobre 2026 : mettez à jour PHP vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 sans attendre. Toutes les applications PHP exposées sur Internet sont concernées, dont Nextcloud, WordPress, Moodle ou Mautic. Cet article résume l’alerte du CERT-EU et détaille les actions à mener pour les instances Nextcloud.
Ce qu’il faut savoir
Le CERT-EU, l’équipe de réponse aux incidents des institutions européennes, a publié l’avis 2026-018 le 20 octobre 2026, mis à jour le 21 octobre après la sortie des correctifs.
| Élément | Détail |
| Références | CVE-2026-109618 et CVE-2026-109619 |
| Gravité | CVSS v4.0 : 9.2/10 pour chacune |
| Impact | Exécution de code à distance sans authentification |
| Correctifs | Publiés par l’équipe PHP le 21 octobre 2026 |
| Exploitation | Des preuves de concept circulent publiquement |
Une seule requête non authentifiée peut déclencher l’attaque, avant même l’exécution du code de l’application. La première faille exploite une corruption mémoire lors du dépassement de la limite mémoire de PHP. La seconde exploite un état interne résiduel entre deux requêtes traitées par le même processus.
Avec des preuves de concept en circulation, le CERT-EU estime qu’une exploitation est déjà probable.
Qui est concerné
Toute installation PHP qui sert des requêtes web est à risque : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. L’équipe PHP considère mod_php comme la configuration la plus exposée.
| Branche PHP | Versions vulnérables | Version corrigée |
| 8.5 | Antérieures à 8.5.12 | 8.5.12 |
| 8.4 | Antérieures à 8.4.27 | 8.4.27 |
| 8.3 | Antérieures à 8.3.36 | 8.3.36 |
| 8.2 | Antérieures à 8.2.35 | 8.2.35 |
| 8.1 et plus anciennes | Toutes | Aucune version officielle (fin de vie) |
De nombreux logiciels embarquent PHP sans l’exposer directement. Le NCSC-NL tient à jour une liste de ces produits tiers pour vous aider à les identifier.
Que faire maintenant
La seule protection complète est la mise à jour de PHP. L’action dépend de votre mode d’installation de Nextcloud.
Installation sur serveur (paquets système)
- Mettez à jour PHP depuis les dépôts de votre distribution : les éditeurs Linux ont reçu les correctifs en avance.
- Redémarrez PHP-FPM et Apache ou Nginx.
- Vérifiez la version réellement utilisée : php -v en ligne de commande, puis la version de PHP-FPM dans Nextcloud, menu Paramètres d’administration > Vue d’ensemble.
Si vous utilisez le dépôt Remi sur RHEL, Rocky Linux ou AlmaLinux, sachez qu’il n’a pas publié de mise à jour le jour de la sortie. L’équipe PHP recommande de basculer vers les paquets de la distribution ou de compiler PHP depuis les sources.
Si vous êtes encore en PHP 8.1 ou antérieur, planifiez une montée de version en urgence ou rapprochez-vous de votre fournisseur de support étendu.
Nextcloud All-in-One (AIO)
Mettez à jour vers AIO v14.4.1, qui intègre les versions PHP corrigées. La mise à jour se lance depuis l’interface d’administration AIO.
Image Docker officielle « nextcloud »
Au moment de la publication, les images officielles n’intègrent pas encore les versions PHP corrigées, car elles dépendent des images PHP de base. Vérifiez la version embarquée avec docker exec <conteneur> php -v et suivez le ticket de l’équipe Nextcloud. En attendant, appliquez les mesures temporaires ci-dessous et isolez l’instance.
Si vous ne pouvez pas mettre à jour immédiatement
Le CERT-EU recommande d’isoler les applications exposées sur Internet jusqu’à ce que le correctif soit appliqué et vérifié. Concrètement : accès restreint par VPN, filtrage par adresse IP, ou mise hors ligne temporaire.
Mesures temporaires
Ces mesures réduisent l’exposition à certains vecteurs d’attaque, mais elles ne rendent pas une installation sûre. Elles servent uniquement de solution d’attente avant la mise à jour.
Appliquez-les dans php.ini, dans le pool PHP-FPM ou dans la configuration Apache, via php_admin_value ou php_admin_flag. Elles sont inefficaces via .user.ini ou ini_set().
- session.upload_progress.enabled = 0
- memory_limit = -1, non modifiable par l’application, associé à une limite mémoire au niveau du conteneur ou du cgroup
- Sous PHP 8.5 uniquement : fatal_error_backtraces = 0
Exemple pour un pool PHP-FPM :
php_admin_value[memory_limit] = -1
php_admin_flag[session.upload_progress.enabled] = off
Redémarrez ensuite tous les processus PHP. Vérifiez aussi qu’aucune autre configuration ne réimpose une limite mémoire finie.
Attention, spécifiquement pour Nextcloud. Le CERT-EU suggère aussi de réduire post_max_size à 32 Mo. Sur Nextcloud, cette mesure peut bloquer l’envoi de fichiers volumineux, depuis l’interface web comme depuis les clients de synchronisation. Testez son impact avant de l’appliquer en production.
Suivi et accompagnement
Cet article sera mis à jour au fil de l’évolution de la situation, notamment à la publication des images Docker Nextcloud corrigées.
Les équipes d’IWAA CLOUD peuvent vous accompagner pour inventorier vos serveurs PHP exposés, appliquer les correctifs et contrôler vos journaux. Contact: support@iwaa.dz