L’équipe PHP a publié, après les mises à jour de sécurité urgentes diffusées le 21 octobre, une nouvelle note d’information concernant une configuration différente. L’avis officiel du 23 octobre se concentre sur un scénario restreint dans lequel la gestion des données de session et la fonctionnalité de suivi de l’avancement du chargement des fichiers sont utilisées ensemble. L’équipe expliquera les détails du problème CVE-2026-115560 dans la prochaine version de correction de bogue régulière.
La nouvelle alerte ne signifie pas que toutes les applications PHP sont affectées de la même manière. Pour le risque, l’application doit commencer avec une méthode de sérialisation de session particulière et en changer au moment de l’exécution. La fonctionnalité qui surveille la progression du chargement des fichiers doit rester activée, cela fait partie des conditions décrites.
L’équipe PHP recommande de désactiver le réglage session.upload_progress.enabled jusqu’à la prochaine version régulière. Pour ceux qui ont déjà appliqué cette mesure suite à l’avertissement du 21 octobre, il leur suffit de maintenir ce réglage. Pour les applications qui n’ont jamais modifié la méthode de sérialisation de session en cours d’exécution, la nouvelle explication indique que cette fonctionnalité peut rester activée.
Par ailleurs, les correctifs pour les deux vulnérabilités critiques précédentes restent nécessaires à l’installation. La nouvelle notification ne propose pas une solution qui remplace ces correctifs. Les équipes gérant les serveurs doivent vérifier séparément les paquets installés et la configuration des applications.
La nouvelle alerte PHP ne remplace pas les correctifs critiques antérieurs
La publication actuelle de sécurité de Google Cloud aborde également une intervention couvrant l’infrastructure entière pour les deux vulnérabilités du 21 octobre. Modifier le paquet PHP sur un serveur ne signifie pas que les autres copies en fonctionnement se corrigent automatiquement. Pour les organisations utilisant des images de conteneur et des environnements de déploiement différents, il est important de vérifier que le paquet à jour a bien atteint l’environnement opérationnel.
Si vous utilisez des services d’hébergement mutualisé, il peut ne pas suffire de se baser uniquement sur le nom de version affiché dans l’interface d’administration du site. Le fournisseur doit préciser quelles corrections de sécurité ont été appliquées et s’il a effectué le redémarrage nécessaire. En raison des retours des correctifs lors des déploiements, le numéro de version ne reflète pas nécessairement exactement l’état de sécurité.
Par ailleurs, l’équipe PHP précise qu’elle abordera le nouveau problème, plus restreint, dans le cadre du cycle de publication habituel. Cela diffère du processus d’appel à une mise à jour d’urgence publiée pour les deux vulnérabilités critiques le 21 octobre. Pour les équipes d’applications, la distinction concrète sera de terminer les correctifs existants et de déterminer si la configuration spécifique de session mentionnée dans le nouvel avertissement est utilisée.
