CVE-2026-115560 : nouvelle vulnérabilité PHP, encore sans correctif
Publié 23.10.2026 · Niveau de gravité : Moyenne · Mis à jour 27.10.2026
Que se passe-t-il : le 23 octobre 2026, PHP a signalé une nouvelle vulnérabilité, CVE-2026-115560, pouvant permettre l’exécution de code à distance sur le serveur. Elle a été annoncée deux jours après les correctifs de PHP2Shell, et les versions mises à jour le 21 octobre ne la bloquent pas.
Quel est le niveau de gravité : selon PHP, une attaque nécessite une combinaison inhabituelle de réglages et de code applicatif : le site doit modifier le format des données de session pendant son fonctionnement et la fonction de suivi des envois de fichiers doit être activée. Aucune attaque n’a été signalée à ce jour (CERT-FR, 27 octobre 2026). PHP corrigera ce défaut dans sa prochaine version ordinaire.
Qui est concerné : les sites web fonctionnant sous PHP – notamment WordPress, Joomla, Drupal et de nombreuses boutiques en ligne – lorsque la fonction de suivi des envois de fichiers (session.upload_progress) est activée. Elle est activée par défaut.
Que devez-vous faire : PHP recommande de définir session.upload_progress.enabled=0 dans php.ini ou dans la configuration du serveur, puis de redémarrer les processus PHP, jusqu’à la publication du correctif. Ce paramètre sert uniquement à afficher la progression pendant l’envoi de fichiers ; la plupart des sites web ne verront aucune différence. Installez la prochaine version de PHP dès sa sortie.
Vous ne savez pas si votre site web est concerné ? Écrivez-nous et nous vous dirons ce qu’il faut faire.