Les paquets Composer dans CISA KEV (et les deux qui sont des dépendances de développement)

1,500 paquets Composer ont fait l'objet d'avis publiés. Seules 24 CVE parmi eux figurent dans CISA KEV, et elles se concentrent dans les cœurs de CMS : Drupal, Craft, Magento, October. Pour les équipes Laravel, les trois qui comptent sont Ignition, Livewire et une ancienne RCE du framework.

Publié le 2026-10-28 · données : flux phpwarden 2026.10.28.1 (généré le 2026-10-27) · sources : OSV.dev, FriendsOfPHP, NVD, CISA KEV, FIRST EPSS

Où KEV se situe dans l'écosystème Composer

1,528 paquets de 656 éditeurs ont au moins un avis (OSV.dev + FriendsOfPHP). 24 CVE figurent dans CISA KEV, affectant 17 noms de paquets — et la plupart sont des cœurs de CMS, car une RCE non authentifiée dans un CMS vaut la peine d'être automatisée à l'échelle d'internet.

Les 30 entrées KEV

Les deux qui sont des dépendances de développement

phpunit/phpunit (CVE-2017-9841, EPSS 100%) and facade/ignition (CVE-2021-3129, EPSS 100%) comptent parmi les CVE PHP les plus exploitées sur internet, et aucune n'a sa place sur un serveur de production. eval-stdin.php de PHPUnit et la page d'erreur de débogage d'Ignition ne sont accessibles que lorsque des paquets require-dev ont été déployés. composer install --no-dev --optimize-autoloader dans l'étape de déploiement élimine toute la catégorie.

Si vous utilisez Laravel

130 avis touchent des paquets de l'écosystème Laravel (laravel/*, livewire, filament, spatie, ignition). Trois figurent dans KEV. Classés par EPSS :

À titre de comparaison, Symfony compte 270 avis dans le flux et aucun dans KEV ; 6 dépassent un EPSS de 10 %. Le nombre d'avis en dit peu sur la pression d'attaque.

EPSS élevé, absent de KEV

KEV est sélectif et accuse un retard. Ces paquets Composer ont des CVE avec un EPSS ≥ 50 % qui ne sont pas (encore) cataloguées :

Quoi faire

1. Déployez avec --no-dev. Puis confirmez : phpwarden deps composer.lock liste les paquets de développement s'ils sont dans le lock, et le contrôle d'atteignabilité vous dit si quoi que ce soit dans votre code référence un paquet vulnérable.
2. Conditionnez la CI à l'exploitation, pas au CVSS. fail-on: exploited dans la GitHub Action ne bloque la fusion que pour les entrées KEV ; ajoutez un seuil de gravité si vous en voulez davantage.
3. Surveillez l'EPSS, pas seulement KEV. Le deuxième tableau ci-dessus préfigure ce à quoi KEV ressemblera dans quelques mois.

composer require --dev phpwarden/phpwarden   # PHP projects → vendor/bin/phpwarden
vendor/bin/phpwarden deps composer.lock      # Composer
vendor/bin/phpwarden scan                    # PHP engine on this host
vendor/bin/phpwarden wordpress /var/www/html # WordPress core, plugins, themes

Méthode : voir l'analyse du flux complet pour les sources et les réserves. L'EPSS est une probabilité d'exploitation sur 30 jours à la date du flux ; l'appartenance à KEV est à la date du flux. Parcourez tout sur /advisories.