Chaque CVE du moteur PHP avec une version corrective, par branche (et lesquelles sont exploitées)

PHP rétroporte les correctifs branche par branche, si bien que « passez à la dernière version » est le mauvais contrôle. Voici chaque CVE du moteur présente dans le flux, avec la version corrective pour 8.1, 8.2, 8.3, 8.4 et 8.5, le SAPI qu'elle requiert, et lesquelles des quatre figurent dans CISA KEV, dont les deux use-after-free d'octobre 2026.

Publié le 2026-10-28 · données : flux phpwarden 2026.10.28.1 (généré le 2026-10-27) · sources : OSV.dev, FriendsOfPHP, NVD, CISA KEV, FIRST EPSS

Pourquoi « passer à la dernière version de PHP » est le mauvais contrôle

PHP livre les correctifs de sécurité à toutes les branches prises en charge en même temps. Une CVE corrigée dans 8.3.36 l'est aussi dans 8.2.35 et 8.4.27 — et pas dans 8.3.35. La question pour un hôte n'est donc jamais « êtes-vous sur 8.5 » mais « votre 8.3.x est-il au niveau ou au-dessus du correctif 8.3 ». Et une branche en fin de vie (7.1, 7.2, 7.3, 8.0, 8.1) n'a aucune version corrective : un hôte qui l'utilise est exposé à chaque CVE publiée après sa dernière version, pour toujours.

Plusieurs de celles-ci ne s'appliquent aussi qu'à un seul SAPI. CVE-2019-11043 nécessite PHP-FPM derrière nginx avec une mauvaise configuration précise ; les CVE CGI nécessitent php-cgi, et CVE-2024-4577 nécessite Windows. phpwarden les signale comme possiblement exposées avec la condition à vérifier, plutôt que comme un impact certain.

Chaque CVE du moteur dans le flux, avec la version corrective par branche

« — » signifie que la branche n'a pas de correctif : soit elle n'était pas affectée, soit elle était déjà en fin de vie au moment de la publication de la CVE.

Les 4 dans CISA KEV

• CVE-2026-109618 — Upload-progress use-after-free and remote process-memory disclosure (publié 2026-10-21, EPSS 100%)
• CVE-2026-109619 — Fatal-error backtrace use-after-free and OPcache type confusion (publié 2026-10-21, EPSS 100%)
• CVE-2024-4577 — PHP-CGI argument injection to RCE on Windows via Best-Fit encoding (publié 2024-06-06, EPSS 100%)
• CVE-2019-11043 — PHP-FPM remote code execution via env_path_info buffer underflow (publié 2019-10-24, EPSS 100%)

Deux d'entre elles ont été publiées le 2026-10-21 et figuraient dans KEV en moins d'une semaine. Les deux sont des use-after-free atteignables à distance sur des configurations FPM courantes, les deux ont des correctifs dans chaque branche prise en charge, et aucune n'a de correctif pour 8.1 ou antérieur.

Quoi faire

1. Vérifiez la branche, pas la version majeure. phpwarden scan détecte automatiquement la version, le SAPI et l'OS de l'hôte et compare à la version corrective de cette branche ; phpwarden scan --version 8.2.34 --sapi fpm --os linux le fait pour une version que vous saisissez.
2. Quittez d'abord les branches en fin de vie. C'est le seul élément de cette page sans correctif.
3. Pour les hôtes FPM que vous ne pouvez pas corriger aujourd'hui, le démon de garde surveille les workers pour détecter une exploitation de corruption mémoire en cours et les recycle — un palliatif, pas un correctif.

composer require --dev phpwarden/phpwarden   # PHP projects → vendor/bin/phpwarden
vendor/bin/phpwarden deps composer.lock      # Composer
vendor/bin/phpwarden scan                    # PHP engine on this host
vendor/bin/phpwarden wordpress /var/www/html # WordPress core, plugins, themes

Méthode : voir l'analyse du flux complet pour les sources et les réserves. L'EPSS est une probabilité d'exploitation sur 30 jours à la date du flux ; l'appartenance à KEV est à la date du flux. Parcourez tout sur /advisories.