Vulnérabilités de sécurité critiques dans PHP

La CSSF a été informée de deux vulnérabilités de sécurité critiques dans l’environnement d’exécution PHP (CVE-2026-109618 et CVE-2026-109619). Ces deux vulnérabilités peuvent entraîner l’exécution de code arbitraire à distance (remote code execution, RCE) sans authentification.

Les versions affectées exactes n’ont, au moment de la présente communication, pas encore été confirmées. En attendant la confirmation des versions affectées de la part de sources officielles, les entités financières sont tenues de considérer tous les services fonctionnant sous PHP comme potentiellement exposés.

Le CIRCL (Computer Incident Response Center Luxembourg) a publié un rapport à ce sujet, y compris des recommandations, disponible à l’adresse URL suivante : https://www.circl.lu/pub/tr-102/.

La CSSF recommande fortement à toutes les entités surveillées concernées de prendre dûment connaissance de ce rapport et de mettre en œuvre les actions qui s’imposent.

En outre,  la CSSF rappelle que l’exécution de code arbitraire à distance sans authentification constitue un incident TIC majeur à notifier conformément à la circulaire CSSF 25/893 (DORA)  ou à la circulaire CSSF 24/847, en fonction du type d’entité.