La communauté PHP est sur le qui-vive après la révélation de nouvelles failles de sécurité. Alors que deux vulnérabilités ont récemment provoqué une vague d’inquiétude à l’échelle mondiale, une troisième faille a été découverte. Cependant, les développeurs de PHP insistent sur le fait qu’il n’y a pas de raison de céder à la panique. Mais qu’en est-il vraiment ?
L’essentiel à retenir
- Une troisième faille mémoire a été découverte dans PHP, identifiée comme CVE-2026-115560.
- Cette faille est jugée moins dangereuse par les développeurs de PHP et un correctif est prévu pour la prochaine version du langage.
- Il est recommandé de vérifier le paramètre session.upload_progress.enabled pour atténuer le risque.
Imaginez que vous êtes développeur ou administrateur pour un important site web utilisant PHP. La nouvelle de ces failles pourrait donner des sueurs froides. Pourtant, vous pouvez dormir sur vos deux oreilles, assure PHP, car un correctif est en route. En attendant, quelques ajustements préventifs peuvent suffire à éviter le pire.
Une troisième faille mémoire, mais pas de panique selon PHP
La récente découverte d’une troisième faille mémoire dans PHP, référencée sous CVE-2026-115560, a soulevé des questions au sein de la communauté. Cependant, les développeurs de PHP ont rapidement clarifié que cette vulnérabilité n’est pas aussi alarmante que les précédentes. En effet, son exploitation nécessite une configuration exceptionnelle et spécifique du code.
Développer ses compétences, mieux s'organiser, exploiter l'IA ou lancer un projet : les bons outils peuvent faciliter le quotidien professionnel. Voici 8 solutions à découvrir pour apprendre, gagner en efficacité et tirer parti du numérique.
🇬🇧 Gymglish – Améliorez votre anglais professionnel (1 MOIS OFFERT !)
Pour progresser en anglais, enrichir son vocabulaire et gagner en aisance dans un contexte professionnel grâce à des leçons personnalisées.
→ Découvrir Gymglish
🌍 Preply – Apprenez une langue avec un professeur (- 50 %)
Pour préparer une évolution de carrière, travailler à l'international ou développer de nouvelles compétences linguistiques, trouvez des cours adaptés à vos objectifs.
→ Trouver un professeur sur Preply
🧠 MindManager – Structurez vos idées et vos projets (ESSAI GRATUIT)
Organisez vos tâches, préparez un projet professionnel ou clarifiez vos objectifs grâce aux cartes mentales et aux outils de planification.
→ Découvrir MindManager
☁️ pCloud – Stockez vos fichiers en ligne (EN PROMO)
Conservez vos documents, photos et fichiers personnels ou professionnels dans le cloud pour y accéder depuis vos appareils.
→ Découvrir l'offre pCloud
📊 HubSpot CRM – Organisez vos contacts professionnels
Centralisez les informations sur vos prospects et vos clients pour suivre vos échanges et structurer votre activité, notamment si vous êtes indépendant ou entrepreneur.
→ Découvrir HubSpot CRM
🎬 CapCut Pro – Créez des vidéos pour les RS (7 jours d'essai gratuit)
Montez vos vidéos et préparez des contenus visuels pour vos publications, vos projets de communication ou votre activité en ligne.
→ Découvrir CapCut Pro
🛒 Shopify – Lancez votre activité en ligne (ESSAI GRATUIT)
Vous envisagez une reconversion ou un projet entrepreneurial ? Shopify propose des outils pour créer et gérer une boutique e-commerce sans avoir à développer votre propre site de zéro.
→ Découvrir Shopify
Prochain correctif et mesures préventives
Contrairement aux failles précédentes qui ont nécessité des correctifs en urgence, la correction de cette nouvelle faille sera intégrée dans la prochaine version de PHP. En attendant, il est conseillé de vérifier que le paramètre session.upload_progress.enabled est désactivé, ce qui devrait suffire à atténuer les risques potentiels.
Impact potentiel des failles PHP2Shell
Les failles, baptisées « PHP2Shell », pourraient avoir un impact significatif, étant donné que près de 70 % des sites web mondiaux utilisent PHP. Toutefois, cela ne signifie pas que tous ces sites sont vulnérables. Les failles ont déjà été sondées par des acteurs malveillants, mais aucun incident majeur n’a encore été signalé.
Controverse autour de la gestion des failles
La découverte et la gestion de ces vulnérabilités ont suscité des critiques, notamment après que la société de sécurité Chainguard a diffusé des informations supplémentaires sans l’approbation de PHP. De plus, il est reproché à l’organisation de n’avoir pas agi plus tôt, alors que certaines failles étaient connues depuis 2024.
PHP et la gestion de ses failles : une ouverture
La gestion des failles de sécurité dans PHP soulève des questions sur la réactivité et la transparence de son développement. À l’avenir, une communication plus ouverte et proactive pourrait renforcer la confiance des utilisateurs et des développeurs. Par ailleurs, l’évolution des pratiques de sécurité, avec des approches telles que la sécurité « by design », pourrait également jouer un rôle crucial dans la prévention de telles vulnérabilités.
Le défi de la sécurité dans l’écosystème open source
Le secteur de l’open source, dont fait partie PHP, doit continuellement s’adapter aux défis de la sécurité. Des initiatives collaboratives, comme celles menées par la Linux Foundation ou l’Open Source Security Foundation, visent à améliorer la sécurité des projets open source. L’implication des entreprises de technologie, telles que Red Hat et Canonical, pourrait également renforcer ces efforts.
FAQ sur la faille mémoire PHP
Qu’est-ce que la faille CVE-2026-115560 dans PHP ?
Il s’agit d’une faille mémoire récemment découverte dans le langage PHP. Elle nécessite une combinaison spécifique de configurations pour être exploitée.
Comment puis-je protéger mon site web utilisant PHP ?
Il est recommandé de désactiver le paramètre session.upload_progress.enabled pour réduire les risques jusqu’à ce qu’un correctif soit disponible.
Quand le correctif sera-t-il disponible ?
Le correctif devrait être déployé avec la prochaine version de PHP, bien qu’aucune date précise n’ait été communiquée.
Les failles PHP2Shell représentent-elles un danger immédiat ?
Bien que la surface d’attaque potentielle soit vaste, aucun incident majeur n’a été signalé jusqu’à présent. Les administrateurs doivent toutefois rester vigilants.
