Les d\u00e9veloppeurs de PHP ont publi\u00e9 un rapport sur les probl\u00e8mes rencontr\u00e9s lors de la r\u00e9solution des vuln\u00e9rabilit\u00e9s critiques corrig\u00e9es hier. Des informations sur une vuln\u00e9rabilit\u00e9 caus\u00e9e par une saturation de la m\u00e9moire disponible ont \u00e9t\u00e9 obtenues lors d'un audit externe en 2024, mais n'ont \u00e9t\u00e9 per\u00e7ues que comme une possibilit\u00e9 th\u00e9orique d'attaque. La correction a \u00e9t\u00e9 retard\u00e9e en raison de probl\u00e8mes de consensus parmi les d\u00e9veloppeurs de PHP concernant la mani\u00e8re de r\u00e9soudre la vuln\u00e9rabilit\u00e9. Plusieurs propositions concurrentes ont \u00e9t\u00e9 envisag\u00e9es, chacune ayant ses inconv\u00e9nients. Il a fallu choisir entre la rupture de la compatibilit\u00e9 ascendante, l'apparition de nouveaux vecteurs d'attaques entra\u00eenant des d\u00e9nis de service, et la n\u00e9cessit\u00e9 d'apporter des modifications \u00e0 de nombreuses extensions tierces. <\/p>\n
Il y a quelques mois, les entreprises Calif et Wiz ont ind\u00e9pendamment d\u00e9couvert, gr\u00e2ce aux mod\u00e8les d'IA GPT-5.6 et Gemini 4 Argon, des m\u00e9thodes exploitant une vuln\u00e9rabilit\u00e9. Le 11 et le 24 ao\u00fbt 2026, elles ont inform\u00e9 les d\u00e9veloppeurs de PHP. Par la suite, le d\u00e9veloppement de correctifs a \u00e9t\u00e9 class\u00e9 en priorit\u00e9 absolue, et une r\u00e9forme du processus de d\u00e9cision a \u00e9t\u00e9 engag\u00e9e pour une r\u00e9activit\u00e9 accrue sur des questions li\u00e9es \u00e0 des compromis complexes (de telles d\u00e9cisions peuvent d\u00e9sormais \u00eatre prises \u00e0 la majorit\u00e9, sans n\u00e9cessiter un consensus strict).<\/p>\n
\u00c0 l'origine, la date de publication coordonn\u00e9e des correctifs avec les distributions \u00e9tait fix\u00e9e au 22 octobre, mais elle a ensuite \u00e9t\u00e9 avanc\u00e9e au 21 octobre apr\u00e8s qu'une fuite d'informations sur les identifiants CVE et des donn\u00e9es incorrectes sur le calendrier de publication des futures versions correctives aient eu lieu sur les r\u00e9seaux sociaux le 20 octobre. <\/p>\n
Peu apr\u00e8s l'annonce des correctifs \u00e0 venir, l'entreprise Calif, ayant identifi\u00e9 l'une des vuln\u00e9rabilit\u00e9s, a par erreur publi\u00e9 une vid\u00e9o d\u00e9montrant le fonctionnement de l'exploit, dans laquelle certains d\u00e9tails \u00e9taient visibles, permettant de restreindre la recherche et la reconstitution des informations sur le probl\u00e8me. La vid\u00e9o a \u00e9t\u00e9 rapidement supprim\u00e9e, ce qui a seulement accru le d\u00e9sir des chercheurs d'explorer la vuln\u00e9rabilit\u00e9 et a acc\u00e9l\u00e9r\u00e9 le travail sur des prototypes alternatifs d'exploits. <\/p>\n
En outre, six heures avant la publication pr\u00e9vue des corrections, la soci\u00e9t\u00e9 Chainguard a enfreint l'embargo et publi\u00e9 des builds de sa distribution contenant une version corrig\u00e9e de PHP. Cette violation a permis aux malfaiteurs d'\u00e9tudier la correction avant sa publication officielle, et a \u00e9galement compromis tout le travail de divulgation coordonn\u00e9e et de publication simultan\u00e9e des correctifs dans diff\u00e9rentes distributions.<\/p>\n
Addition : Seize heures apr\u00e8s la divulgation des d\u00e9tails concernant les vuln\u00e9rabilit\u00e9s de l'exploit universel, aucune attaque massive n'a encore \u00e9t\u00e9 observ\u00e9e, ce qui s'explique par la complexit\u00e9 d'exploitation de la vuln\u00e9rabilit\u00e9 due \u00e0 la n\u00e9cessit\u00e9 de d\u00e9terminer la disposition des structures en m\u00e9moire du processus, qui est sp\u00e9cifique \u00e0 chaque build. Les prototypes d'exploits publi\u00e9s sont li\u00e9s \u00e0 des configurations sp\u00e9cifiques et \u00e0 la r\u00e9alisation d'attaques en laboratoire. De nombreux faux exploits ont \u00e9galement \u00e9merg\u00e9, qui sont des hallucinations d'IA, cr\u00e9ant seulement une illusion d'attaque, li\u00e9es \u00e0 des erreurs de configuration ou ne fonctionnant que en pr\u00e9sence d'autres vuln\u00e9rabilit\u00e9s critiques. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 PHP \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u043e\u0442\u0447\u0451\u0442 \u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0445, \u0432\u043e\u0437\u043d\u0438\u043a\u0448\u0438\u0445 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0432\u0447\u0435\u0440\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 PHP. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0449\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u0447\u0435\u0440\u043f\u0430\u043d\u0438\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438, \u0431\u044b\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430 \u0435\u0449\u0451 \u0432 2024 \u0433\u043e\u0434\u0443, \u043d\u043e \u0431\u044b\u043b\u0430 \u0432\u043e\u0441\u043f\u0440\u0438\u043d\u044f\u0442\u0430 \u043b\u0438\u0448\u044c \u043a\u0430\u043a \u0442\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438. \u0418\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0437\u0430\u0442\u044f\u043d\u0443\u043b\u043e\u0441\u044c \u0438\u0437-\u0437\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0434\u043e\u0441\u0442\u0438\u0436\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043d\u0441\u0435\u043d\u0441\u0443\u0441\u0430 \u0441\u0440\u0435\u0434\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 PHP \u043e \u0441\u043f\u043e\u0441\u043e\u0431\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":10,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-183958","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Violations de l'embargo et retard dans le d\u00e9veloppement de patches lors de la correction des vuln\u00e9rabilit\u00e9s dans PHP | ProHoster","description":"Les d\u00e9veloppeurs de PHP ont publi\u00e9 un rapport sur les probl\u00e8mes survenus lors de la correction des vuln\u00e9rabilit\u00e9s critiques corrig\u00e9es hier dans PHP.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u0430\u0440\u0443\u0448\u0435\u043d\u0438\u044f \u044d\u043c\u0431\u0430\u0440\u0433\u043e \u0438 \u0437\u0430\u0442\u044f\u0433\u0438\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0430\u0442\u0447\u0435\u0439 \u0432 \u0445\u043e\u0434\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 PHP | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 PHP \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u043e\u0442\u0447\u0451\u0442 \u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0445, \u0432\u043e\u0437\u043d\u0438\u043a\u0448\u0438\u0445 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0432\u0447\u0435\u0440\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 PHP.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-10-22T15:40:23+00:00","article:modified_time":"2026-10-22T15:40:28+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/183958","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=183958"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/183958\/revisions"}],"predecessor-version":[{"id":183959,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/183958\/revisions\/183959"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=183958"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=183958"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=183958"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"