Blog
Les données du flux phpwarden, mises en perspective. Ce qui est réellement exploité dans l'écosystème PHP, et comment y faire face.
Sur 19,000 vulnérabilités PHP, 35 sont exploitées. Les voici.
Nous avons classé chaque CVE du moteur PHP, de Composer et de WordPress selon son exploitation réelle (CISA KEV + EPSS) plutôt que selon le CVSS. Un quart des CVE « critiques » ont une probabilité d'exploitation inférieure à 1 % ; les failles réellement utilisées par les attaquants sont listées ci-dessous.
11,800 CVE WordPress, 7 dans CISA KEV : les extensions réellement utilisées par les attaquants
Chaque avis concernant le cœur, les extensions et les thèmes WordPress de notre flux, classé selon l'exploitation réelle (CISA KEV + EPSS). Les extensions qui comptent le plus d'avis ne sont pas celles qui sont attaquées ; celles qui le sont sont des extensions de sauvegarde, de gestion de fichiers et de formulaires présentant des failles d'envoi de fichiers ou de RCE non authentifiées.
Les paquets Composer dans CISA KEV (et les deux qui sont des dépendances de développement)
1,500 paquets Composer ont fait l'objet d'avis publiés. Seules 24 CVE parmi eux figurent dans CISA KEV, et elles se concentrent dans les cœurs de CMS : Drupal, Craft, Magento, October. Pour les équipes Laravel, les trois qui comptent sont Ignition, Livewire et une ancienne RCE du framework.
Chaque CVE du moteur PHP avec une version corrective, par branche (et lesquelles sont exploitées)
PHP rétroporte les correctifs branche par branche, si bien que « passez à la dernière version » est le mauvais contrôle. Voici chaque CVE du moteur présente dans le flux, avec la version corrective pour 8.1, 8.2, 8.3, 8.4 et 8.5, le SAPI qu'elle requiert, et lesquelles des quatre figurent dans CISA KEV, dont les deux use-after-free d'octobre 2026.