Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
PHP a divers états globaux qui se pointent temporairement dans la mémoire de requête. Dans certains scénarios, l'état global peut ne pas être correctement réinitialisé ou être réaménagé après avoir été réinitialisé. L'état global peut alors se référer à la mémoire de requête même après sa libération. Les demandes subséquentes peuvent être lues ou ramifiées sur cet état de l'impasse avant qu'il ne soit entièrement initialisé. Plusieurs stratégies peuvent déclencher cette condition et produire l'exécution de code à distance (RCE).
Texte officiel (anglais)
PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
Versions touchées
php php à partir de 5.4.0, avant 8.2.35
php php à partir de 8.3.0, avant 8.3.36
php php à partir de 8.4.0, avant 8.4.27
php php à partir de 8.5.0, avant 8.5.12
siemens ruggedcom ape1808 firmware toutes versions publiées
paloaltonetworks pan-os à partir de 10.2.0, avant 10.2.7
CISA a ajouté deux nouvelles vulnérabilités à son catalogue de vulnérabilités Expiliés (KEV) et mis à jour l'alerte PHP, vulnérabilités critiques en PHP Exiger un accrochement immédiat : CVE-2026-109618 – Vulnérabilité de la mémoire PHP Vulnérabilité de la corruption CVE-2026-109619 – Vulnérabilité interne de la demande d'état PHP Stale Ces types de vulnérabilités sont un vecteur d'attaque fréquent pour les cyberacteurs malveillants et posent signe
Attendez-vous à voir quelques sites Web servant des erreurs "404" ou "Page Not Found" aujourd'hui: Près de 70 pour cent des sites Web doivent mettre à jour leur logiciel de base pour corriger une paire de vulnérabilités qui permettent à un attaquant de saisir le contrôle total sur les serveurs affectés. Les experts disent qu'il y a des exploits de travail pour les défauts, et que ces bogues critiques sont déjà exploités dans la nature.
