Link: https://socprime.com/fr/blog/cve-2026-115560-nouveau-risque-rce-php-non-corrige-necessitant-une-attenuation-immediate/

PHP a divulgué CVE-2026-115560, un nouveau risque d’exécution de code à distance affectant les applications web qui utilisent une combinaison inhabituelle de configuration de session PHP et de comportement à l’exécution. Le problème a été divulgué le 23 octobre 2026, seulement deux jours après que PHP ait publié des correctifs d’urgence pour les vulnérabilités critiques PHP2Shell CVE-2026-109618 et CVE-2026-109619.

Contrairement à ces vulnérabilités antérieures, CVE-2026-115560 n’a pas déclenché une autre publication d’urgence de PHP. L’équipe de sécurité PHP considère que la configuration vulnérable est improbable dans les déploiements typiques et prévoit de résoudre le défaut lors de son prochain cycle de corrections de bogues régulier. D’ici là, il est conseillé aux administrateurs de désactiver la fonctionnalité de progression de téléchargement de session PHP là où la configuration vulnérable peut exister.

La nouvelle vulnérabilité est également importante car installer PHP 8.5.12, 8.4.27, 8.3.36, ou 8.2.35—les versions qui ont corrigé les deux premières failles PHP2Shell—ne not remédie pas à CVE-2026-115560. Les systèmes entièrement mis à jour peuvent donc rester exposés si leurs applications sont conformes aux prérequis spécifiques de configuration.