PHP signale un risque lié à une configuration inhabituelle
Après les correctifs critiques du 21 octobre, PHP précise un autre cas de risque. Les administrateurs doivent vérifier la configuration des sessions.
L’équipe PHP a publié le 23 octobre un nouvel avertissement concernant une combinaison inhabituelle de paramètres de session. L’information complète les mises à jour de sécurité diffusées deux jours plus tôt. Elle appelle à vérifier le fonctionnement réel des applications, sans conclure que tous les sites utilisant PHP sont exposés de la même manière à ce cas précis.
Un enchaînement de paramètres particulier
Selon l’avis officiel, le cas identifié suppose un gestionnaire de sérialisation configuré en php_binary ou php_serialize, puis modifié à l’exécution en php avant le démarrage de la session. Le suivi de progression des téléversements doit aussi être activé. L’équipe indique qu’une application ne changeant jamais ce gestionnaire à l’exécution n’entre pas dans cette combinaison.
L’identifiant annoncé est CVE-2026-115560. Les développeurs prévoient un avis complet avec la prochaine version de maintenance. Dans l’intervalle, ils suggèrent de désactiver le paramètre session.upload_progress.enabled pour couvrir ce vecteur. Une protection déjà appliquée sur ce point doit être conservée.
À quoi sert le suivi des téléversements ?
Le manuel de PHP décrit cette fonctionnalité comme un moyen de suivre l’avancement d’un fichier envoyé au serveur. Les informations sont stockées dans la session pour pouvoir être consultées par l’application. Une interface peut ainsi afficher une progression pendant qu’un transfert se poursuit.
Ce mécanisme technique se situe côté serveur. Il ne faut pas le confondre avec un simple changement d’apparence du navigateur ou avec le mot de passe d’un utilisateur. Vérifier le risque demande de connaître les paramètres effectivement chargés et le code qui ouvre les sessions. Le nom d’un logiciel utilisé sur le site ne suffit pas à répondre à ces deux questions.
Les correctifs précédents restent nécessaires
Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 publiées le 21 octobre corrigent deux autres vulnérabilités critiques. Le nouvel avertissement ne retire pas l’appel à installer ces mises à jour. À l’inverse, installer ces versions ne doit pas être présenté comme la correction définitive de l’identifiant supplémentaire annoncé vendredi.
La bonne vérification porte à la fois sur la version et sur la configuration. Dans un hébergement géré, l’administrateur peut demander au prestataire quelle version corrigée est fournie et si le réglage concerné s’applique avant le traitement des requêtes. Une modification doit être testée pour préserver les fonctions de transfert de fichiers dont l’application dépend.
L’avertissement a également été relayé sur la liste de sécurité oss-security. Notre rubrique Numérique suit ces alertes et les évolutions des services en ligne.
