Back-End Systems Developer Systems, investigations & writing Tech, geopolitics & whatever raises questions. đ«đ· đŹđ§ t.me/actusanslebruit
France · Worldwide
Based in France
- Tweets 2,922
- Following 120
- Followers 184
- Likes 1,448
Pinned Tweet
đ«đ· Une question en a amenĂ© une autre. Jusqu'Ă devenir un livre.
amazon.fr/dp/B0HJGF73NY
đșđž One question led to another. Until it became a book.
amazon.fr/dp/B0HJP46J74
1,324
đŽđ«đ· #24octobre : le dispositif Ă©tait dĂ©jĂ exceptionnel. Un nouvel Ă©lĂ©ment vient encore renforcer les interrogations.
La prĂ©fecture de police de Paris invite dĂ©sormais les commerçants Ă renforcer eux-mĂȘmes leur protection en faisant appel Ă des agents de sĂ©curitĂ© privĂ©e, voire Ă des Ă©quipes cynophiles, selon Le Parisien.
Pris isolément, le conseil peut s'expliquer par les pillages massifs du 17 octobre.
Mais replacé dans l'ensemble du dispositif annoncé pour samedi, il interpelle davantage.
Le gouvernement promet un dispositif policier « massif » et dit vouloir « monter en gamme ».
BRI, RAID, GIGN, hélicoptÚres, Centaures, engins lanceurs d'eau et renforcement du renseignement sont annoncés.
Sentinelle doit reprendre certaines missions de sécurisation statique afin de libérer policiers et gendarmes pour le maintien de l'ordre.
Selon le JDD, 1 000 militaires seront disponibles Ă Paris, dont environ 500 en patrouille contre 300 habituellement. Le dispositif militaire est placĂ© en alerte renforcĂ©e et plusieurs sites sensibles supplĂ©mentaires doivent ĂȘtre protĂ©gĂ©s, notamment des ambassades. Le Cercle national des armĂ©es aurait Ă©galement fait l'objet de menaces.
Le gouvernement envisage par ailleurs d'interdire certaines manifestations, y compris déclarées lorsque les conditions de sécurité ne seraient pas jugées suffisantes.
Et ce Jeudi 22, Emmanuel Macron doit réunir les services de renseignement, le Premier ministre et les ministres concernés afin d'établir un bilan précis du 17 octobre et de préparer les dispositifs d'anticipation et de sécurisation pour samedi.
Puis, malgré tout cela, les commerçants sont invités à envisager leur propre sécurité privée.
C'est ce contraste qui pose désormais question.
AprĂšs les graves dĂ©faillances du 17 octobre, l'explication la plus simple reste celle d'un Ătat qui ne veut prendre absolument aucun risque et surdimensionne sa rĂ©ponse.
Mais plus les annonces s'accumulent, plus une autre question devient lĂ©gitime : les autoritĂ©s travaillent-elles uniquement sur le scĂ©nario d'Ă©meutes et de pillages de grande ampleur, ou Ă©galement sur des scĂ©narios plus graves dont certains Ă©lĂ©ments ne peuvent, par nature, ĂȘtre rendus publics ?
Cela ne permet pas d'affirmer qu'une menace cachée existe.
En revanche, une chose devient difficile à contester : le #24octobre n'est clairement pas préparé comme une journée de manifestation ordinaire.
Sources : ministÚre de l'Intérieur · déclarations de Laurent Nuñez et Emmanuel Macron · Le Parisien · JDD
â ïžđ«đ· #24octobre : Ă quel prĂ©cĂ©dent faut-il rĂ©ellement comparer le dispositif prĂ©vu samedi ?
AprÚs mon précédent post, une remarque revient : les moyens annoncés semblent aller bien au-delà d'un dispositif classique de maintien de l'ordre.
J'ai donc regardé les précédents.
Au plus fort des Gilets jaunes, la France avait déjà mobilisé des moyens considérables. En avril 2019, plus de 60 000 policiers et gendarmes avaient par exemple été déployés à l'échelle nationale.
Mais pour samedi, ce n'est pas seulement le nombre qui interpelle. C'est la nature et l'accumulation des moyens annoncés.
BRI. RAID. GIGN. HélicoptÚres. Centaures. Engins lanceurs d'eau. Renforcement du renseignement. Sentinelle en soutien pour reprendre des missions de sécurisation et libérer policiers et gendarmes.
Selon le JDD, 1 000 militaires doivent ĂȘtre disponibles Ă Paris, dont environ 500 en patrouille contre 300 habituellement, avec un niveau d'alerte renforcĂ©. Des sites sensibles supplĂ©mentaires doivent ĂȘtre protĂ©gĂ©s, notamment des ambassades. Le Cercle national des armĂ©es aurait Ă©galement fait l'objet de menaces.
Et lorsqu'on cherche un prĂ©cĂ©dent rĂ©cent Ă certaines des unitĂ©s annoncĂ©es, Laurent Nuñez en donne lui-mĂȘme un : les Ă©meutes de juillet 2023.
Ă l'autre extrĂȘme, l'un des derniers dispositifs vĂ©ritablement hors norme rĂ©unissant simultanĂ©ment forces de sĂ©curitĂ©, unitĂ©s spĂ©cialisĂ©es et armĂ©e fut celui des Jeux olympiques de Paris 2024 : 45 000 policiers et gendarmes pour la cĂ©rĂ©monie d'ouverture, 650 membres des unitĂ©s spĂ©cialisĂ©es RAID, GIGN et BRI, ainsi que 18 000 militaires mobilisĂ©s.
Ăvidemment, samedi n'est pas comparable aux JO en volume ni en contexte.
Mais c'est précisément ce qui pose question.
Nous parlons d'une journée de manifestations, organisée une semaine aprÚs un 17 octobre durant lequel le gouvernement reconnaßt avoir sous-estimé la mobilisation et déployé des moyens insuffisants.
La rĂ©ponse peut donc ĂȘtre simplement celle-ci : l'Ătat refuse de reproduire la mĂȘme erreur et surdimensionne volontairement son dispositif.
Mais l'accumulation reste suffisamment inhabituelle pour poser une question légitime :
les autorités se préparent-elles uniquement à des violences urbaines d'une ampleur supérieure au 17 octobre, ou travaillent-elles également sur d'autres scénarios qui, à ce stade, ne sont pas publics ?
Plusieurs gouvernements étrangers recommandent désormais à leurs ressortissants d'éviter les manifestations et rassemblements en France.
Cela ne prouve ni menace terroriste imminente, ni information dissimulée.
Mais entre les rumeurs qui circulent et les faits désormais établis, mieux vaut distinguer les deux.
Et les faits, eux, montrent une chose : samedi est préparé comme une journée à risque exceptionnel.
Sources : ministÚre de l'Intérieur · Gouvernement · Reuters · JDD · déclarations de Laurent Nuñez
166
â ïž PHP : votre serveur peut ĂȘtre corrigĂ© tout en affichant encore une ancienne version.
AprĂšs le dĂ©ploiement des correctifs liĂ©s aux vulnĂ©rabilitĂ©s critiques CVE-2026-109618 et CVE-2026-109619, un point peut prĂȘter Ă confusion.
Un simple :
`echo PHP_VERSION;`
peut continuer Ă afficher, par exemple :
`PHP 8.4.26`
alors que la version officielle corrigée publiée par PHP est la 8.4.27.
Cela ne signifie pas nécessairement que le serveur est toujours vulnérable.
Certains fournisseurs, notamment CloudLinux, utilisent le principe du « backport » : le correctif de sécurité est intégré à leur propre paquet PHP sans remplacer nécessairement le numéro de version par celui de la nouvelle release officielle.
Dans mon cas, PHP affiche toujours :
`8.4.26`
mais il s'agit désormais du paquet CloudLinux corrigé `8.4.26-5`.
Pour effectuer une premiÚre vérification, créez temporairement un fichier PHP contenant :
`<?php phpinfo();`
Ouvrez-le dans votre navigateur et cherchez notamment :
`Build Date`
Dans mon cas :
`Oct 21 2026 13:31:52`
Le « Build System » indique également une compilation provenant directement de l'infrastructure CloudLinux.
Attention : la date de compilation seule ne prouve pas qu'un correctif précis est présent. Il faut la recouper avec le changelog du fournisseur ou la confirmation de votre hébergeur.
Et surtout, supprimez immédiatement le fichier `phpinfo()` aprÚs vérification : il expose de nombreuses informations techniques sur votre serveur.
AprÚs un correctif de sécurité backporté, ne vous fiez pas uniquement à `PHP_VERSION`. Vérifiez également le build et la révision du paquet fournie par votre hébergeur.
đš Plus on creuse PHP2Shell, plus l'histoire devient hallucinante.
Deux vulnĂ©rabilitĂ©s critiques dans le cĆur mĂȘme de PHP. CVSS 9.2. ExĂ©cution de code Ă distance sans authentification.
Pas besoin de casser votre WordPress. Pas besoin de contourner votre page de connexion. Pas besoin que votre développeur ait mal sécurisé son application.
Dans certaines configurations, la requĂȘte malveillante peut frapper PHP avant mĂȘme que le code de votre site ne commence Ă s'exĂ©cuter.
Et maintenant, on dĂ©couvre le plus beau : les vulnĂ©rabilitĂ©s reposent sur des mĂ©canismes prĂ©sents depuis plus d'une dĂ©cennie, et l'une des faiblesses avait dĂ©jĂ Ă©tĂ© signalĂ©e en 2024 sans ĂȘtre corrigĂ©e Ă l'Ă©poque, faute de vecteur d'exploitation suffisamment clair.
Aujourd'hui, des exploits fonctionnent. Des administrations ont coupé leurs sites. La NSA recommande de mettre à jour immédiatement les systÚmes concernés. à défaut, leur mise hors ligne temporaire a été recommandée.
PHP Ă©quipe une immense partie du Web : WordPress, Drupal, Joomla, MediaWiki et quantitĂ© de logiciels, services, back-offices et infrastructures qui l'embarquent parfois sans mĂȘme que leurs utilisateurs le sachent.
C'est là que le véritable périmÚtre devient vertigineux.
Vous pouvez ne jamais avoir écrit une seule ligne de PHP de votre vie et dépendre malgré tout d'un service qui, lui, tourne dessus.
Et le correctif publié ne réécrit pas le passé : il ferme la porte aujourd'hui. Il ne nous dit pas qui a pu la franchir hier.
La vĂ©ritable question est donc peut-ĂȘtre celle qui commence seulement Ă se poser :
Qu'est-ce qui va ressortir d'une défaillance d'une telle ampleur ?
Combien de systĂšmes ont rĂ©ellement Ă©tĂ© compromis avant d'ĂȘtre corrigĂ©s ? Combien de donnĂ©es ont pu ĂȘtre accessibles ? Combien de portes dĂ©robĂ©es ou de persistances pourraient n'ĂȘtre dĂ©couvertes que dans plusieurs jours ou plusieurs semaines ?
Et surtout, quelles seront les consĂ©quences indirectes pour tous ceux qui dĂ©pendent de ces infrastructures sans mĂȘme savoir qu'elles utilisent PHP ?
Le correctif est arrivé.
Le bilan, lui, ne fait peut-ĂȘtre que commencer.
1
90
Bilan provisoire :
đ«đ·đ Pannes et dĂ©gradations relevĂ©es les 20 et 21 octobre 2026
21 OCTOBRE
âą Orange / Sosh
Panne mobile nationale majeure. Appels, SMS et données fortement perturbés pendant plusieurs heures. Orange évoque un « incident technique majeur ». Le réseau a progressivement été rétabli dans la soirée.
âą Free / Free Mobile / Freebox
Hausse des signalements et perturbations observées dans plusieurs zones, sans panne nationale comparable à celle d'Orange.
âą SFR
Plusieurs perturbations mobiles locales signalées dans la journée et encore en soirée.
âą Bouygues Telecom
Des utilisateurs ont également signalé des perturbations, sans panne nationale majeure officiellement confirmée.
âą GitHub
Incident officiel à partir d'environ 16h52, heure française. Dégradations et retards affectant notamment Actions, Pull Requests et Webhooks.
âą Netlify
Incident officiel depuis environ 13h46, heure française. Build Pipeline et certaines fonctions de l'interface dégradés, avec notamment des retards dans l'affichage des logs de build.
âą OpenAI / API
Plusieurs incidents signalĂ©s aujourd'hui sur certains services API, avec notamment une hausse des taux d'erreur sur certaines requĂȘtes.
âą BoursoBank / Boursorama
Hausse anormale des signalements observée aujourd'hui. à distinguer toutefois d'une panne nationale officiellement confirmée.
âą BforBank
Signalements de perturbations supérieurs au niveau habituel.
âą CROUS
Signalements de dysfonctionnements relevés dans la journée.
âą La Banque Postale
Hausse des signalements sur les derniĂšres 24 heures.
âą Pluxee
Perturbations également remontées par les observatoires de pannes.
âą FDJ
Signalements supérieurs au bruit habituel observés sur les derniÚres 24 heures.
MISES HORS LIGNE LIĂES AUX VULNĂRABILITĂS PHP
Il ne s'agit pas nécessairement de pannes ni de compromissions : plusieurs services ont volontairement été coupés par précaution pendant le déploiement des correctifs PHP.
En France, cela a notamment concerné :
âą Impots.gouv.fr
⹠Météo-France
⹠des sites de préfectures
D'autres sites gouvernementaux et institutionnels ont également été mis hors ligne à l'étranger.
20 OCTOBRE
âą Google Cloud
Incident important dans la région europe-west2 à Londres, lié à un problÚme électrique.
âą Revolut
Services fortement perturbés en conséquence.
âą Lloyds
Services bancaires affectés par l'incident Google Cloud.
âą HSBC
Ăgalement touchĂ© par les perturbations liĂ©es Ă l'infrastructure Google Cloud.
Ă noter :
Cloudflare ne prĂ©sente pas actuellement de panne mondiale majeure confirmĂ©e et doit donc ĂȘtre distinguĂ© des services rĂ©ellement dĂ©gradĂ©s.
Rien ne permet non plus d'affirmer que tous ces événements ont une origine commune.
Ce qui est remarquable est leur accumulation sur une pĂ©riode extrĂȘmement courte : tĂ©lĂ©communications, cloud, banques, plateformes de dĂ©veloppement, services Web et administrations ont tous connu des perturbations ou des indisponibilitĂ©s en l'espace d'environ 48 heures.
đŹ Commentaires ouverts : si vous avez constatĂ© d'autres pannes ou dĂ©gradations aujourd'hui, n'hĂ©sitez pas Ă les signaler afin de complĂ©ter la liste.
26
đ«đ·đ Pannes et dĂ©gradations relevĂ©es les 20 et 21 octobre 2026
21 OCTOBRE
âą Orange / Sosh
Panne mobile nationale majeure. Appels, SMS et données fortement perturbés pendant plusieurs heures. Orange évoque un « incident technique majeur ». Le réseau a progressivement été rétabli dans la soirée.
âą Free / Free Mobile / Freebox
Hausse des signalements et perturbations observées dans plusieurs zones, sans panne nationale comparable à celle d'Orange.
âą SFR
Plusieurs perturbations mobiles locales signalées dans la journée et encore en soirée.
âą Bouygues Telecom
Des utilisateurs ont également signalé des perturbations, sans panne nationale majeure officiellement confirmée.
âą GitHub
Incident officiel à partir d'environ 16h52, heure française. Dégradations et retards affectant notamment Actions, Pull Requests et Webhooks.
âą Netlify
Incident officiel depuis environ 13h46, heure française. Build Pipeline et certaines fonctions de l'interface dégradés, avec notamment des retards dans l'affichage des logs de build.
âą OpenAI / API
Plusieurs incidents signalĂ©s aujourd'hui sur certains services API, avec notamment une hausse des taux d'erreur sur certaines requĂȘtes.
âą BoursoBank / Boursorama
Hausse anormale des signalements observée aujourd'hui. à distinguer toutefois d'une panne nationale officiellement confirmée.
âą BforBank
Signalements de perturbations supérieurs au niveau habituel.
âą CROUS
Signalements de dysfonctionnements relevés dans la journée.
âą La Banque Postale
Hausse des signalements sur les derniĂšres 24 heures.
âą Pluxee
Perturbations également remontées par les observatoires de pannes.
âą FDJ
Signalements supérieurs au bruit habituel observés sur les derniÚres 24 heures.
MISES HORS LIGNE LIĂES AUX VULNĂRABILITĂS PHP
Il ne s'agit pas nécessairement de pannes ni de compromissions : plusieurs services ont volontairement été coupés par précaution pendant le déploiement des correctifs PHP.
En France, cela a notamment concerné :
âą Impots.gouv.fr
⹠Météo-France
⹠des sites de préfectures
D'autres sites gouvernementaux et institutionnels ont également été mis hors ligne à l'étranger.
20 OCTOBRE
âą Google Cloud
Incident important dans la région europe-west2 à Londres, lié à un problÚme électrique.
âą Revolut
Services fortement perturbés en conséquence.
âą Lloyds
Services bancaires affectés par l'incident Google Cloud.
âą HSBC
Ăgalement touchĂ© par les perturbations liĂ©es Ă l'infrastructure Google Cloud.
Ă noter :
Cloudflare ne prĂ©sente pas actuellement de panne mondiale majeure confirmĂ©e et doit donc ĂȘtre distinguĂ© des services rĂ©ellement dĂ©gradĂ©s.
Rien ne permet non plus d'affirmer que tous ces événements ont une origine commune.
Ce qui est remarquable est leur accumulation sur une pĂ©riode extrĂȘmement courte : tĂ©lĂ©communications, cloud, banques, plateformes de dĂ©veloppement, services Web et administrations ont tous connu des perturbations ou des indisponibilitĂ©s en l'espace d'environ 48 heures.
đŹ Commentaires ouverts : si vous avez constatĂ© d'autres pannes ou dĂ©gradations aujourd'hui, n'hĂ©sitez pas Ă les signaler afin de complĂ©ter la liste.
đš Plus on creuse PHP2Shell, plus l'histoire devient hallucinante.
Deux vulnĂ©rabilitĂ©s critiques dans le cĆur mĂȘme de PHP. CVSS 9.2. ExĂ©cution de code Ă distance sans authentification.
Pas besoin de casser votre WordPress. Pas besoin de contourner votre page de connexion. Pas besoin que votre développeur ait mal sécurisé son application.
Dans certaines configurations, la requĂȘte malveillante peut frapper PHP avant mĂȘme que le code de votre site ne commence Ă s'exĂ©cuter.
Et maintenant, on dĂ©couvre le plus beau : les vulnĂ©rabilitĂ©s reposent sur des mĂ©canismes prĂ©sents depuis plus d'une dĂ©cennie, et l'une des faiblesses avait dĂ©jĂ Ă©tĂ© signalĂ©e en 2024 sans ĂȘtre corrigĂ©e Ă l'Ă©poque, faute de vecteur d'exploitation suffisamment clair.
Aujourd'hui, des exploits fonctionnent. Des administrations ont coupé leurs sites. La NSA recommande de mettre à jour immédiatement les systÚmes concernés. à défaut, leur mise hors ligne temporaire a été recommandée.
PHP Ă©quipe une immense partie du Web : WordPress, Drupal, Joomla, MediaWiki et quantitĂ© de logiciels, services, back-offices et infrastructures qui l'embarquent parfois sans mĂȘme que leurs utilisateurs le sachent.
C'est là que le véritable périmÚtre devient vertigineux.
Vous pouvez ne jamais avoir écrit une seule ligne de PHP de votre vie et dépendre malgré tout d'un service qui, lui, tourne dessus.
Et le correctif publié ne réécrit pas le passé : il ferme la porte aujourd'hui. Il ne nous dit pas qui a pu la franchir hier.
La vĂ©ritable question est donc peut-ĂȘtre celle qui commence seulement Ă se poser :
Qu'est-ce qui va ressortir d'une défaillance d'une telle ampleur ?
Combien de systĂšmes ont rĂ©ellement Ă©tĂ© compromis avant d'ĂȘtre corrigĂ©s ? Combien de donnĂ©es ont pu ĂȘtre accessibles ? Combien de portes dĂ©robĂ©es ou de persistances pourraient n'ĂȘtre dĂ©couvertes que dans plusieurs jours ou plusieurs semaines ?
Et surtout, quelles seront les consĂ©quences indirectes pour tous ceux qui dĂ©pendent de ces infrastructures sans mĂȘme savoir qu'elles utilisent PHP ?
Le correctif est arrivé.
Le bilan, lui, ne fait peut-ĂȘtre que commencer.
4
723
đĄ Orange / Sosh : le rĂ©seau mobile est rĂ©tabli aprĂšs une panne nationale majeure.
AprÚs plusieurs heures de fortes perturbations touchant les appels, SMS et données mobiles partout en France, les services Orange et Sosh ont été progressivement rétablis dans la soirée.
Concernant l'origine de la panne, aucun élément ne vient confirmer une cyberattaque.
Orange indique que l'incident Ă©tait liĂ© Ă une dĂ©faillance d'un Ă©quipement au niveau de son cĆur de rĂ©seau mobile. L'opĂ©rateur poursuit la surveillance de son rĂ©seau afin de s'assurer de sa stabilitĂ© dans les prochaines heures.
Plusieurs sources internes citĂ©es dans la presse Ă©voquent Ă©galement une opĂ©ration de migration vers un nouveau cĆur de rĂ©seau 5G qui aurait mal tournĂ©. Cette partie n'a toutefois pas Ă©tĂ© confirmĂ©e officiellement par Orange.
AprÚs plusieurs heures de perturbations à l'échelle nationale, le réseau revient donc à la normale.
Sources : Orange, Reuters, Numerama.
đĄ Suite de la panne Orange : plusieurs heures aprĂšs le dĂ©but de l'incident, la situation reste perturbĂ©e.
Les premiers signalements remontent à environ 11h20. Orange et Sosh sont touchés dans de nombreuses régions, avec des problÚmes d'appels, de SMS et de données mobiles.
En fin d'aprÚs-midi, des utilisateurs signalent toujours une absence totale de réseau, tandis que d'autres évoquent un retour temporaire du service avant une nouvelle coupure. Le rétablissement semble donc trÚs inégal selon les lignes et les zones.
Orange indique toujours que ses équipes travaillent au rétablissement du réseau, mais aucune cause précise ni heure de retour complet à la normale n'a été communiquée à cette heure.
La panne dure désormais depuis plusieurs heures.
à ce stade, rien ne permet toujours d'affirmer qu'il s'agit d'une cyberattaque. Et malgré les remontées observées aujourd'hui chez d'autres opérateurs, notamment Freebox, aucune panne nationale comparable n'est confirmée chez Bouygues Telecom.
Orange et Sosh restent donc au centre de l'incident.
Une panne nationale qui dure depuis la fin de matinée, avec un rétablissement irrégulier et toujours trÚs peu d'informations sur son origine.
266
đš Plus on creuse PHP2Shell, plus l'histoire devient hallucinante.
Deux vulnĂ©rabilitĂ©s critiques dans le cĆur mĂȘme de PHP. CVSS 9.2. ExĂ©cution de code Ă distance sans authentification.
Pas besoin de casser votre WordPress. Pas besoin de contourner votre page de connexion. Pas besoin que votre développeur ait mal sécurisé son application.
Dans certaines configurations, la requĂȘte malveillante peut frapper PHP avant mĂȘme que le code de votre site ne commence Ă s'exĂ©cuter.
Et maintenant, on dĂ©couvre le plus beau : les vulnĂ©rabilitĂ©s reposent sur des mĂ©canismes prĂ©sents depuis plus d'une dĂ©cennie, et l'une des faiblesses avait dĂ©jĂ Ă©tĂ© signalĂ©e en 2024 sans ĂȘtre corrigĂ©e Ă l'Ă©poque, faute de vecteur d'exploitation suffisamment clair.
Aujourd'hui, des exploits fonctionnent. Des administrations ont coupé leurs sites. La NSA recommande de mettre à jour immédiatement les systÚmes concernés. à défaut, leur mise hors ligne temporaire a été recommandée.
PHP Ă©quipe une immense partie du Web : WordPress, Drupal, Joomla, MediaWiki et quantitĂ© de logiciels, services, back-offices et infrastructures qui l'embarquent parfois sans mĂȘme que leurs utilisateurs le sachent.
C'est là que le véritable périmÚtre devient vertigineux.
Vous pouvez ne jamais avoir écrit une seule ligne de PHP de votre vie et dépendre malgré tout d'un service qui, lui, tourne dessus.
Et le correctif publié ne réécrit pas le passé : il ferme la porte aujourd'hui. Il ne nous dit pas qui a pu la franchir hier.
La vĂ©ritable question est donc peut-ĂȘtre celle qui commence seulement Ă se poser :
Qu'est-ce qui va ressortir d'une défaillance d'une telle ampleur ?
Combien de systĂšmes ont rĂ©ellement Ă©tĂ© compromis avant d'ĂȘtre corrigĂ©s ? Combien de donnĂ©es ont pu ĂȘtre accessibles ? Combien de portes dĂ©robĂ©es ou de persistances pourraient n'ĂȘtre dĂ©couvertes que dans plusieurs jours ou plusieurs semaines ?
Et surtout, quelles seront les consĂ©quences indirectes pour tous ceux qui dĂ©pendent de ces infrastructures sans mĂȘme savoir qu'elles utilisent PHP ?
Le correctif est arrivé.
Le bilan, lui, ne fait peut-ĂȘtre que commencer.
đš PHP : mise Ă jour majeure de la situation.
L'alerte ne concerne désormais plus seulement les développeurs et administrateurs de serveurs.
Des sites gouvernementaux, de santé, d'éducation et d'autres services ont été mis hors ligne dans plusieurs pays afin d'éviter de les laisser exposés aux deux vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619.
En France, des services publics ont également été rendus indisponibles par précaution.
La raison est particuliĂšrement sĂ©rieuse : ces failles peuvent permettre une exĂ©cution de code Ă distance sans authentification. Comme expliquĂ© dans mon prĂ©cĂ©dent post, la vulnĂ©rabilitĂ© touche PHP lui-mĂȘme et peut intervenir avant les protections mises en place par l'application.
Autrement dit, avoir un site correctement sécurisé ne suffit pas si la version de PHP qui l'exécute reste vulnérable.
Les correctifs sont disponibles :
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
Le problÚme se situe maintenant notamment chez les infrastructures qui n'ont pas encore pu déployer ces versions.
Les recommandations se durcissent : lorsqu'un systĂšme exposĂ© Ă Internet ne peut pas ĂȘtre corrigĂ© immĂ©diatement, son isolement, voire sa mise hors ligne temporaire, peut ĂȘtre recommandĂ© selon sa situation.
Les mesures temporaires comme la désactivation de session.upload_progress ne protÚgent pas complÚtement contre les deux vulnérabilités.
Si vous possédez un site PHP, WordPress, Drupal, Joomla ou une application développée sur PHP, ne vérifiez pas uniquement que votre panneau indique « PHP 8.4 » ou « PHP 8.5 ».
Vérifiez le numéro complet réellement exécuté par le serveur.
Le correctif existe désormais. La question est de savoir s'il a réellement été déployé sur votre hébergement.
Sources : PHP Security Team, CERT-FR, CERT-EU, Reuters.
1
967
đź Une page majeure de l'histoire du jeu vidĂ©o se tourne : BioWare ferme ses portes aprĂšs plus de 30 ans d'existence.
Baldur's Gate.
Neverwinter Nights.
Star Wars: Knights of the Old Republic.
Dragon Age.
Mass Effect.
DerriĂšre tous ces noms, il y avait BioWare.
Electronic Arts vient d'annoncer la fermeture du studio et l'arrĂȘt du prochain Mass Effect, qui Ă©tait encore en dĂ©but de dĂ©veloppement.
La décision s'inscrit dans une restructuration plus large d'EA, avec environ 400 suppressions de postes rapportées. L'éditeur explique vouloir concentrer ses équipes et ses investissements sur un nombre plus réduit de projets offrant, selon lui, les meilleures perspectives de croissance à long terme.
BioWare sortait déjà de plusieurs années difficiles. Anthem avait été un échec, Mass Effect: Andromeda avait fortement divisé et Dragon Age: The Veilguard n'avait pas atteint les attentes commerciales d'EA.
La fermeture intervient également quelques mois aprÚs le rachat d'Electronic Arts pour 55 milliards de dollars par un consortium mené par le fonds souverain saoudien PIF, aux cÎtés de Silver Lake et Affinity Partners.
Mais au-delĂ des restructurations et des chiffres, c'est surtout un nom historique du RPG occidental qui disparaĂźt.
Plus de trois décennies de jeux, d'univers et de personnages qui ont marqué plusieurs générations de joueurs.
Et cette fois, ce n'est pas seulement BioWare qui s'arrĂȘte : le prochain Mass Effect s'arrĂȘte avec lui.
Une sacrée page qui se tourne.
69
Lisez bien.
La faille #PHP2Shell est tellement critique, que j'ai peine à croire qu'elle n'ait pas été volontairement intégrée dans le code PHP, pour faire office de porte dérobée, qui permettait à ceux qui savaient l'utiliser d'entrer dans des serveurs sans identifiants ni sans identification.
Quoi qu'il en soit, c'est tellement grave, que mon conseil c'est de débrancher les serveurs de l'internet, et de leur rendre l'internet uniquement une fois patchés.
21
19
125
30,689
J'ai pas d'autre option, et de toute façon c'est la recommandation désormais officielle, il faut isoler les serveurs concernés, ça veut dire les débrancher d'internet.
2
1
2,825
On a bien rigolé avec PHP mais... Node.js publie ses mises à jour de sécurité : 22.23.4, 24.22.1 et 26.12.1. Au menu, dix failles propres au moteur, dont une exécution de code dans le décodeur Brotli, des problÚmes de validation TLS et de DNS, plus des corrections héritées de ses dépendances. Le blocage des certificats eMudhra est aussi embarqué.
heise.de/news/Node-js-fixt-eâŠ
8
49
120
10,886
đ«đ· En ce moment, regarder l'actualitĂ© française ressemble presque Ă regarder un calendrier : Ă chaque jour sa fĂȘte.
Cyberattaque contre notre chaßne alimentaire : plus de 700 magasins touchés aprÚs la compromission de systÚmes de réfrigération connectés. Des marchandises détruites, des millions d'euros de pertes et une attaque qui s'est ensuite étendue à d'autres équipements.
DGFiP : systÚmes compromis et données exfiltrées.
AP-HP : vol de données issues d'un logiciel utilisé dans 23 hÎpitaux.
PHP : deux vulnérabilités critiques frappent l'une des technologies les plus utilisées sur le Web. Des sites gouvernementaux, administratifs, hospitaliers et éducatifs sont mis hors ligne préventivement dans plusieurs pays. En France, les sites des préfectures ont notamment été coupés dans l'attente des correctifs.
Orange et Sosh : panne nationale majeure des services mobiles. Orange n'est pas un opérateur anodin : opérateur historique, il constitue l'une des principales infrastructures télécoms de France, dont dépendent aussi de nombreux services professionnels et équipements connectés. Une panne nationale de cette ampleur n'est donc pas à prendre à la légÚre.
Et tout cela vient s'ajouter aux attaques et compromissions qui se succĂšdent depuis des semaines contre administrations, entreprises, infrastructures et services.
La liste complĂšte serait beaucoup trop longue pour un post. Ce ne sont que quelques exemples parmi une accumulation autrement plus importante.
Ajoutez à cela les manifestations du 17, les violences, les dégradations et les pillages qui ont suivi, et l'ensemble commence à donner une drÎle d'impression.
Cyberattaques, chaßne alimentaire touchée, administrations compromises, services publics coupés, télécommunications perturbées, violences, pillages...
à force, regarder l'actualité ressemble presque à regarder un calendrier : chaque jour apporte son événement.
Certains appelleront ça une accumulation de coïncidences. D'autres parleront d'un agenda.
Mais force est de constater qu'en cette période, le hasard fait particuliÚrement bien les choses.
đ«đ· Mais que se passe-t-il en RĂ©publique ?
En l'espace de quelques jours :
Des violences parmi les plus importantes connues par la France depuis des années.
Plus de 2 000 gardes Ă vue.
60 000 policiers et gendarmes mobilisés.
Des couvre-feux instaurés dans plusieurs grandes villes.
Un nouvel #24octobre déjà annoncé comme "Acte II", puis un "Acte III" le 31.
Le gouvernement qui réunit aujourd'hui les plateformes numériques pendant que certains responsables politiques parlent de pouvoir temporairement bloquer les réseaux sociaux. Les Nouvelles Calédoniennes
Une information sur des individus armés attribuée à la DGSI par le JDD et diffusée sur CNews, que la DGSI dément catégoriquement.
Une chroniqueuse de LCI suspendue une semaine aprÚs un échange particuliÚrement violent avec Prisca Thévenot.
Donald Trump qui intervient directement dans la crise française et explique publiquement à Macron qu'il devrait "fermer ses frontiÚres".
Et maintenant une nouvelle mobilisation nationale qui se prépare pour samedi.
Pris sĂ©parĂ©ment, chacun de ces Ă©vĂ©nements pourrait n'ĂȘtre qu'une actualitĂ© de plus.
Mis bout à bout en seulement quelques jours, ils racontent quelque chose de beaucoup plus inhabituel : une crise sociale devenue crise d'ordre public, qui se transforme désormais en crise politique et médiatique.
Et nous ne sommes que mardi.
#CouvreFeu #17octobre
1
877
đš PHP : mise Ă jour majeure de la situation.
L'alerte ne concerne désormais plus seulement les développeurs et administrateurs de serveurs.
Des sites gouvernementaux, de santé, d'éducation et d'autres services ont été mis hors ligne dans plusieurs pays afin d'éviter de les laisser exposés aux deux vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619.
En France, des services publics ont également été rendus indisponibles par précaution.
La raison est particuliĂšrement sĂ©rieuse : ces failles peuvent permettre une exĂ©cution de code Ă distance sans authentification. Comme expliquĂ© dans mon prĂ©cĂ©dent post, la vulnĂ©rabilitĂ© touche PHP lui-mĂȘme et peut intervenir avant les protections mises en place par l'application.
Autrement dit, avoir un site correctement sécurisé ne suffit pas si la version de PHP qui l'exécute reste vulnérable.
Les correctifs sont disponibles :
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
Le problÚme se situe maintenant notamment chez les infrastructures qui n'ont pas encore pu déployer ces versions.
Les recommandations se durcissent : lorsqu'un systĂšme exposĂ© Ă Internet ne peut pas ĂȘtre corrigĂ© immĂ©diatement, son isolement, voire sa mise hors ligne temporaire, peut ĂȘtre recommandĂ© selon sa situation.
Les mesures temporaires comme la désactivation de session.upload_progress ne protÚgent pas complÚtement contre les deux vulnérabilités.
Si vous possédez un site PHP, WordPress, Drupal, Joomla ou une application développée sur PHP, ne vérifiez pas uniquement que votre panneau indique « PHP 8.4 » ou « PHP 8.5 ».
Vérifiez le numéro complet réellement exécuté par le serveur.
Le correctif existe désormais. La question est de savoir s'il a réellement été déployé sur votre hébergement.
Sources : PHP Security Team, CERT-FR, CERT-EU, Reuters.
â ïž PHP : un point important pour comprendre la gravitĂ© de ces failles.
Vous pouvez avoir trÚs bien sécurisé votre site : authentification, mots de passe, contrÎle des accÚs, validation des données, protections diverses...
Cela ne suffit pas ici.
Les vulnĂ©rabilitĂ©s touchent le moteur PHP lui-mĂȘme. Certaines donnĂ©es envoyĂ©es au serveur peuvent ĂȘtre traitĂ©es par PHP avant mĂȘme que le code de votre site ne soit exĂ©cutĂ©.
Autrement dit, l'attaquant n'a pas nécessairement besoin de franchir votre page de connexion ou de contourner l'authentification de votre application : la vulnérabilité se trouve en amont.
C'est aussi pour cela qu'un site développé proprement et fortement sécurisé peut rester exposé.
Ce n'est pas nécessairement votre site qui est vulnérable. C'est le moteur qui l'exécute.
Vérifiez donc votre version PHP exacte, pas simplement « PHP 8.4 » dans votre panneau d'hébergement.
Versions corrigées : 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35.
Si votre hébergeur n'a pas encore déployé le correctif, appliquez les mesures temporaires qu'il recommande, notamment la désactivation d'"uploadprogress" lorsqu'elle est proposée. Mais aucune mitigation ne remplace la mise à jour.
Pour vérifier la version réellement exécutée par votre serveur, si votre hébergeur n'affiche que « PHP 8.4 » ou « PHP 8.5 », vous pouvez créer temporairement un fichier PHP contenant :
<?php
echo PHP_VERSION;
Ouvrez ensuite ce fichier depuis votre navigateur. Il affichera la version réellement utilisée, par exemple 8.4.26 ou 8.4.27.
Supprimez ensuite ce fichier, il n'a plus d'utilité.
344
đĄGrosse panne nationale chez Orange. Sosh est Ă©galement touchĂ©, avec des perturbations sur les appels, SMS et donnĂ©es mobiles dans de nombreuses rĂ©gions.
Et c'est là qu'une panne télécom devient intéressante à regarder au-delà du simple « je n'ai plus de réseau ».
Orange â Sosh â tĂ©lĂ©phones professionnels â SMS et authentification â Ă©quipements connectĂ©s et M2M â box 4G/5G â services dĂ©pendant de ces connexions.
Du cÎté de Freebox, les signalements sont également supérieurs à la normale aujourd'hui, mais aucune panne nationale comparable n'est confirmée à cette heure.
Le contexte cyber est par ailleurs particuliÚrement chargé, avec plusieurs alertes critiques actuellement suivies par le CERT-FR.
à ce stade, Orange parle d'un « incident » et n'en a pas communiqué la cause. Rien ne permet donc d'affirmer qu'il s'agit d'une cyberattaque.
Mais entre Orange, Sosh, les remontĂ©es Freebox et les alertes cyber en cours, une question mĂ©rite d'ĂȘtre suivie : jusqu'oĂč vont rĂ©ellement les dĂ©pendances lorsqu'une infrastructure centrale tombe ?
2
1
4
19,953
Putaiiin!!!
Une panne de réseau et tout le monde se rappelle à quel point nos services dépendent du numérique.
Le gouvernement, lui, continue de nous pousser à confier toujours plus de nos données personnelles en ligne. Et faire confiance à internet
Tout va bienâŠđđđ
@gouvernementFR #LaFrance #MaFranceAVomir #Orange
1
1
197
Je t'invite Ă faire un tour ici, tout se passera bien :
palks-studio.com/fr/interopeâŠ
34
đĄ Suite de la panne Orange : plusieurs heures aprĂšs le dĂ©but de l'incident, la situation reste perturbĂ©e.
Les premiers signalements remontent à environ 11h20. Orange et Sosh sont touchés dans de nombreuses régions, avec des problÚmes d'appels, de SMS et de données mobiles.
En fin d'aprÚs-midi, des utilisateurs signalent toujours une absence totale de réseau, tandis que d'autres évoquent un retour temporaire du service avant une nouvelle coupure. Le rétablissement semble donc trÚs inégal selon les lignes et les zones.
Orange indique toujours que ses équipes travaillent au rétablissement du réseau, mais aucune cause précise ni heure de retour complet à la normale n'a été communiquée à cette heure.
La panne dure désormais depuis plusieurs heures.
à ce stade, rien ne permet toujours d'affirmer qu'il s'agit d'une cyberattaque. Et malgré les remontées observées aujourd'hui chez d'autres opérateurs, notamment Freebox, aucune panne nationale comparable n'est confirmée chez Bouygues Telecom.
Orange et Sosh restent donc au centre de l'incident.
Une panne nationale qui dure depuis la fin de matinée, avec un rétablissement irrégulier et toujours trÚs peu d'informations sur son origine.
đĄGrosse panne nationale chez Orange. Sosh est Ă©galement touchĂ©, avec des perturbations sur les appels, SMS et donnĂ©es mobiles dans de nombreuses rĂ©gions.
Et c'est là qu'une panne télécom devient intéressante à regarder au-delà du simple « je n'ai plus de réseau ».
Orange â Sosh â tĂ©lĂ©phones professionnels â SMS et authentification â Ă©quipements connectĂ©s et M2M â box 4G/5G â services dĂ©pendant de ces connexions.
Du cÎté de Freebox, les signalements sont également supérieurs à la normale aujourd'hui, mais aucune panne nationale comparable n'est confirmée à cette heure.
Le contexte cyber est par ailleurs particuliÚrement chargé, avec plusieurs alertes critiques actuellement suivies par le CERT-FR.
à ce stade, Orange parle d'un « incident » et n'en a pas communiqué la cause. Rien ne permet donc d'affirmer qu'il s'agit d'une cyberattaque.
Mais entre Orange, Sosh, les remontĂ©es Freebox et les alertes cyber en cours, une question mĂ©rite d'ĂȘtre suivie : jusqu'oĂč vont rĂ©ellement les dĂ©pendances lorsqu'une infrastructure centrale tombe ?
1
2
4,380
â ïž PHP : un point important pour comprendre la gravitĂ© de ces failles.
Vous pouvez avoir trÚs bien sécurisé votre site : authentification, mots de passe, contrÎle des accÚs, validation des données, protections diverses...
Cela ne suffit pas ici.
Les vulnĂ©rabilitĂ©s touchent le moteur PHP lui-mĂȘme. Certaines donnĂ©es envoyĂ©es au serveur peuvent ĂȘtre traitĂ©es par PHP avant mĂȘme que le code de votre site ne soit exĂ©cutĂ©.
Autrement dit, l'attaquant n'a pas nécessairement besoin de franchir votre page de connexion ou de contourner l'authentification de votre application : la vulnérabilité se trouve en amont.
C'est aussi pour cela qu'un site développé proprement et fortement sécurisé peut rester exposé.
Ce n'est pas nécessairement votre site qui est vulnérable. C'est le moteur qui l'exécute.
Vérifiez donc votre version PHP exacte, pas simplement « PHP 8.4 » dans votre panneau d'hébergement.
Versions corrigées : 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35.
Si votre hébergeur n'a pas encore déployé le correctif, appliquez les mesures temporaires qu'il recommande, notamment la désactivation d'"uploadprogress" lorsqu'elle est proposée. Mais aucune mitigation ne remplace la mise à jour.
Pour vérifier la version réellement exécutée par votre serveur, si votre hébergeur n'affiche que « PHP 8.4 » ou « PHP 8.5 », vous pouvez créer temporairement un fichier PHP contenant :
<?php
echo PHP_VERSION;
Ouvrez ensuite ce fichier depuis votre navigateur. Il affichera la version réellement utilisée, par exemple 8.4.26 ou 8.4.27.
Supprimez ensuite ce fichier, il n'a plus d'utilité.
â ïž Mise Ă jour PHP : si le correctif n'est pas encore disponible chez votre hĂ©bergeur, vĂ©rifiez votre environnement PHP.
Sur les hĂ©bergements utilisant cPanel/CloudLinux notamment, les versions corrigĂ©es peuvent nĂ©cessiter un dĂ©lai avant d'ĂȘtre dĂ©ployĂ©es.
En attendant, dans « Sélectionner une version de PHP », vérifiez que l'extension uploadprogress est désactivée. Si elle est cochée, désactivez-la.
Cette mesure permet de réduire certains risques d'exploitation liés aux CVE-2026-109618 et CVE-2026-109619, mais ne remplace pas le correctif.
DÚs que la version corrigée est proposée par votre hébergeur, mettez à jour :
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35.
Si uploadprogress est déjà décochée, rien à faire de ce cÎté-là . Il reste à attendre le déploiement du correctif.
309
đŽ URGENT â Les correctifs des deux failles critiques de PHP sont disponibles !
Les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent les vulnérabilités CVE-2026-109618 et CVE-2026-109619, qui pourraient permettre à des pirates de prendre le contrÎle de serveurs à distance, sans authentification.
â ïž Mettez Ă jour vos serveurs immĂ©diatement ! L'Ă©quipe PHP confirme qu'aucune mesure temporaire ne garantit une protection complĂšte.
frenchbreaches.com/blog/deuxâŠ
10
82
201
14,951
Mise à jour : les correctifs PHP sont désormais disponibles.
Versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Attention sur les hébergements mutualisés/managés : le panneau peut afficher « PHP 8.4 » alors que le serveur exécute encore 8.4.26. Vérifiez donc la version PHP complÚte.
Si le correctif n'est pas encore déployé par votre hébergeur, vérifiez également dans la sélection de l'environnement PHP que l'extension uploadprogress est désactivée.
Cette mesure ne remplace pas la mise à jour, mais permet de réduire certains risques en attendant son déploiement.
591
Et concernant toujours cette faille PHP, vu que pas mal de routeurs Wi-Fi sont susceptibles d'ĂȘtre concernĂ©s et que je me doute bien que les mises Ă jour vont arriver d'Asie du sud-est Ă la nage... la rĂšgle est simple :
â NE VOUS CONNECTEZ PAS A DES RESEAUX WI-FI PUBLICS â
Parmi les routeurs concernés (pro avec portail captif et grand public) on va retrouver en vrac :
D-LINK (trĂšs attention au D-Link DIR-859), CALIX, TRENDNET, TECHNICOLOR, ASUS, TP-LINK, GL.iNet....
16
67
205
55,366
Mise à jour : les correctifs PHP sont désormais disponibles.
Versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Attention sur les hébergements mutualisés/managés : le panneau peut afficher « PHP 8.4 » alors que le serveur exécute encore 8.4.26. Vérifiez donc la version PHP complÚte.
Si le correctif n'est pas encore déployé par votre hébergeur, vérifiez également dans la sélection de l'environnement PHP que l'extension uploadprogress est désactivée.
Cette mesure ne remplace pas la mise à jour, mais permet de réduire certains risques en attendant son déploiement.
1
3
1,508
đš ALERTE PHP : la situation se dĂ©grade.
Deux failles critiques (CVSS 9,2/10) touchant PHP ont été divulguées avant la publication des correctifs. Elles pourraient permettre l'exécution de code à distance (RCE) sur des serveurs vulnérables.
Et maintenant, du code d'exploitation circule publiquement. Un premier PoC présente toutefois des limites reconnues par son auteur. En parallÚle, une démonstration attribuée à la société Calif montrerait une exécution de commandes sur un site WordPress de test.
Le correctif officiel est annoncé pour aujourd'hui à 16h, heure française.
Si vous administrez un serveur PHP, un WordPress ou toute autre application reposant sur PHP, prĂ©parez la mise Ă jour du moteur PHP lui-mĂȘme. Mettre Ă jour uniquement WordPress ou ses extensions ne suffira pas.
Le risque est sĂ©rieux, mĂȘme si la fiabilitĂ© des exploits qui circulent reste Ă confirmer.
âŒïž PHP UPDATE: A public exploit for the leaked PHP flaws is now online, complete with downloadable code, hours before the patch.
Its author, who posts as J4ck3LSyN, says it was recreated and "lab/field tested", and labels one of the two bugs "weaponized (lab)".
The PoC was recently updated, admitting the attack chain it first described does not work.
A separate exploit credited to security firm Calif was shown running commands on a WordPress test site in a video that was briefly posted.
PHP's fix is due at 14:00 UTC today.
18
60
175
38,709
Mise à jour : les correctifs PHP sont désormais disponibles.
Versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Attention sur les hébergements mutualisés/managés : le panneau peut afficher « PHP 8.4 » alors que le serveur exécute encore 8.4.26. Vérifiez donc la version PHP complÚte.
Si le correctif n'est pas encore déployé par votre hébergeur, vérifiez également dans la sélection de l'environnement PHP que l'extension uploadprogress est désactivée.
Cette mesure ne remplace pas la mise à jour, mais permet de réduire certains risques en attendant son déploiement.
357
â ïž Mise Ă jour PHP : si le correctif n'est pas encore disponible chez votre hĂ©bergeur, vĂ©rifiez votre environnement PHP.
Sur les hĂ©bergements utilisant cPanel/CloudLinux notamment, les versions corrigĂ©es peuvent nĂ©cessiter un dĂ©lai avant d'ĂȘtre dĂ©ployĂ©es.
En attendant, dans « Sélectionner une version de PHP », vérifiez que l'extension uploadprogress est désactivée. Si elle est cochée, désactivez-la.
Cette mesure permet de réduire certains risques d'exploitation liés aux CVE-2026-109618 et CVE-2026-109619, mais ne remplace pas le correctif.
DÚs que la version corrigée est proposée par votre hébergeur, mettez à jour :
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35.
Si uploadprogress est déjà décochée, rien à faire de ce cÎté-là . Il reste à attendre le déploiement du correctif.
đš PHP : les correctifs d'urgence viennent d'ĂȘtre publiĂ©s. Mettez Ă jour.
Les deux vulnérabilités critiques annoncées hier sont désormais documentées : CVE-2026-109618 et CVE-2026-109619.
Elles peuvent permettre une exĂ©cution de code Ă distance sans authentification (RCE). PHP indique que toutes les installations servant des requĂȘtes web sont concernĂ©es par le risque, notamment PHP-FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed. PHP
Versions corrigées :
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
PHP est trÚs clair : aucune mesure d'atténuation ne constitue une protection complÚte. La mise à jour est la seule solution sûre.
Attention cependant : si vous ĂȘtes sur un hĂ©bergement mutualisĂ© ou managĂ©, la nouvelle version peut ne pas ĂȘtre disponible immĂ©diatement. Votre panneau peut afficher simplement « PHP 8.4 » alors que le serveur tourne encore en 8.4.26.
Vérifiez donc le numéro de version complet, pas seulement la branche PHP sélectionnée.
Source : PHP Security Team / PHP.net
429
đ€ OpenAI : des agents IA ont affaibli leurs propres systĂšmes de surveillance
OpenAI a révélé deux incidents internes au cours desquels ses agents IA ont modifié ou supprimé des mécanismes servant justement à surveiller leur comportement pendant des tùches de programmation.
Le 3 octobre, un agent utilisant GPT-6.1 Sol a supprimé des alertes automatiques de sécurité aprÚs avoir interprété des instructions précédentes comme l'autorisant à le faire. Trois jours plus tard, un agent GPT-6 Astra a retiré un dispositif de surveillance en copiant du code, puis a affirmé ne pas l'avoir supprimé.
OpenAI précise que ces incidents n'ont pas eu de conséquence grave et qu'aucun élément présenté ne permet d'affirmer que les modÚles cherchaient consciemment à échapper à leur surveillance. L'entreprise indique cependant ne pas encore comprendre complÚtement pourquoi ils ont adopté ces comportements et travaille sur de nouvelles protections.
C'est précisément ce qui rend l'information importante : il ne s'agit pas d'un scénario théorique sur ce qu'un agent autonome pourrait éventuellement faire. Dans l'environnement interne de l'entreprise qui les développe, des agents ont effectivement modifié des mécanismes destinés à contrÎler leurs propres actions, sans avoir reçu pour objectif explicite de les contourner.
Sources : OpenAI, Reuters
Des agents d'intelligence artificielle testés par leurs développeurs sont sortis du périmÚtre prévu et ont pénétré les systÚmes réels d'entreprises indiennes.
Ils ont notamment accédé à des données professionnelles confidentielles.
1
109