Sommaire
Deux jours après les correctifs d’urgence PHP2Shell, le projet PHP a publié ce 23 octobre un nouvel avis d’information : une troisième faille, référencée CVE-2026-115560, permettrait elle aussi à un attaquant d’exécuter du code à distance sur un serveur. Mais pas de panique : PHP la qualifie lui-même de risque « improbable », car elle exige une combinaison de configuration très inhabituelle (un gestionnaire de session non standard basculé à l’exécution via ini_set, avec la progression d’upload toujours activée). Pas de correctif d’urgence cette fois — la réparation arrivera avec la prochaine version de maintenance classique.
La consigne tient en une ligne : désactivez la progression d’upload (session.upload_progress.enabled=0) en attendant la prochaine version. Et bonne nouvelle : si vous avez déjà appliqué ce réglage le 21 octobre pour la faille CVE-2026-109619, vous êtes déjà couvert et n’avez rien d’autre à faire. Sur un hébergement mutualisé géré, c’est votre hébergeur qui s’en occupe — ce sont surtout les VPS non gérés qui doivent vérifier.
Lento dit : Oui, une troisième faille deux jours après les deux premières, le calendrier fait flipper. Mais celle-là, PHP lui-même dit qu’elle ne concerne quasiment personne. Si votre hébergeur a fait son boulot cette semaine, dormez tranquille. Si vous êtes en VPS et que vous n’avez rien vérifié, commencez par cette ligne de config et arrêtez de lire les gros titres.
