PHP corrige deux failles critiques de sécurité en urgence
En bref
- Deux vulnérabilités critiques d’exécution de code à distance corrigées dans PHP 8.x.
- Des exploits circulent depuis la veille en raison d’une fuite dans le processus de divulgation.
- Le PHP Project a avancé la date de sortie des correctifs au 21 octobre.
Le projet PHP a publié aujourd’hui des correctifs pour deux vulnérabilités d’exécution de code à distance affectant toutes les versions 8.x. Selon l’annonce officielle, des exploits circulent depuis la veille en raison d’une fuite dans le processus de divulgation coordonnée. Les identifiants CVE concernés ont été partagés en ligne avec un score CVSS erroné de 10.0 (révisé à 9.2) et une date de sortie anticipée.
Le PHP Project a accéléré la publication des correctifs, initialement prévue le 22 octobre, pour le 21 octobre à 14h UTC. Une firme de sécurité a diffusé par erreur une vidéo de démonstration, amplifiant la création et la diffusion de preuves de concept d’exploitation dès le 21 octobre.
Ce résumé vous donne l'essentiel. L'article complet, ses chiffres et ses citations sont chez Simon Willison's Weblog.
Lire l'article originalRésumé généré par IA à partir de la source, relu par règles. Comment nous rédigeons · Signaler une erreur