Passer au contenu principal

Environnements d’exécution Web PHP (CVE-2026-109618 et CVE-2026-109619)

Cet incident est toujours en cours. Ces informations sont susceptibles de changer. Consultez ce bulletin pour obtenir les dernières informations sur l’application des correctifs.

ID du bulletin : 2026-143-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 21/10/2026 à 14 h 30 PDT (heure du Pacifique)
Date de dernière mise à jour : 30/10/2026 à 13 h 15 PDT (heure du Pacifique)

Résumé :

Deux vulnérabilités critiques ont été identifiées dans les environnements d’exécution Web PHP (CVE-2026-109618 et CVE-2026-109619). Elles peuvent permettre à un acteur non authentifié d’exécuter du code sur les systèmes concernés. Un acteur distant peut envoyer des requêtes Web spécialement conçues aux processus de travail PHP concernés et exécuter du code arbitraire, lire des données accessibles au processus ou provoquer un déni de service.

Les services AWS ne sont pas concernés par ces vulnérabilités. Les clients utilisant les versions de PHP concernées dans les services répertoriés ci-dessous peuvent être affectés et doivent consulter les recommandations fournies.

Versions concernées :

  • PHP 8.5 : Versions concernées : 8.5.0–8.5.11 · Première version corrigée : 8.5.12
  • PHP 8.4 : Versions concernées : 8.4.0–8.4.26 · Première version corrigée : 8.4.27
  • PHP 8.3 : Versions concernées : 8.3.0–8.3.35 · Première version corrigée : 8.3.36
  • PHP 8.2 : Versions concernées : 8.2.0–8.2.34 · Première version corrigée : 8.2.35
  • PHP 5.4–8.1 : Aucun correctif publié en amont. Ces versions sont en fin de vie et aucun correctif n’est prévu. La migration vers une branche prise en charge est nécessaire.

Impact :

Cette vulnérabilité est exploitable à distance, sans authentification, à la frontière entre Internet et l’application du client. Elle peut entraîner l’exécution de code, un accès non prévu aux données accessibles au processus ou un déni de service sur le processus de travail PHP ciblé. La vulnérabilité est limitée au processus de travail concerné et à ses autorisations au niveau de l’application. Aucune propagation d’un client à l’autre n’a été établie à ce jour.

Statut actuel des mesures d’atténuation :

  • Amazon EMR : Les clusters Amazon EMR sur EC2 lancés avec Ganglia parmi les applications installées sont concernés, plus précisément les versions d’EMR 4.2.0–5.29.0 et 5.30.0–6.15.0. Amazon EMR sur EKS et Amazon EMR sans serveur ne sont pas concernés, quelle que soit la version. Les clusters Amazon EMR sur EC2 exécutant la version 7.0.0 ou une version ultérieure, ainsi que ceux lancés sans Ganglia, ne sont pas non plus concernés. Pour les versions concernées, les clients qui lancent de nouveaux clusters doivent éviter d’inclure Ganglia lorsqu’il n’est pas nécessaire. Dans la mesure du possible, les clients doivent passer à EMR 7.x, qui n’inclut plus Ganglia, et utiliser l’agent Amazon CloudWatch pour la télémétrie et la surveillance.

  • Amazon WorkMail : AWS a appliqué des contrôles au niveau de la configuration et achevé la mise à niveau vers PHP 8.3.36. Aucune action n’est requise de la part des clients.

  • AWS Elastic Beanstalk : AWS a publié des versions mises à jour des plateformes PHP pour toutes les versions de PHP prises en charge (8.2 à 8.5), intégrant le correctif PHP publié en amont. Les clients ayant activé les mises à jour de plateforme gérées recevront automatiquement la mise à jour lors de leur prochaine fenêtre de maintenance. Les clients qui n’ont pas activé les mises à jour de plateforme gérées sont invités à mettre à jour la version de plateforme de leur environnement en suivant la documentation : PHP 8.5/8.4 et PHP 8.3/8.2.

  • AWS Lambda : AWS Lambda ne fournit pas d’environnement d’exécution PHP géré. Les clients qui ont déployé PHP sous forme d’environnement d’exécution personnalisé ou d’image de conteneur sont responsables de la mise à jour de la version de PHP utilisée dans leurs fonctions. Nous recommandons de passer dès que possible à une version corrigée de PHP et de redéployer les fonctions. Pour savoir comment créer et maintenir des environnements d’exécution personnalisés, consultez la documentation AWS Lambda. Si vous utilisez le projet Bref proposé par un tiers pour exécuter PHP sur Lambda, Bref a publié une version de sécurité comprenant des couches et des images Docker mises à jour avec les versions corrigées de PHP. Consultez la publication de sécurité de Bref pour connaître les instructions de mise à jour.

  • Amazon Linux : Des paquets PHP mis à jour sont disponibles dans toutes les régions. Les clients qui exécutent PHP sur Amazon Linux doivent appliquer les paquets mis à jour dès qu’ils sont disponibles. Pour en savoir plus, suivez les avis CVE-2026-109618 et CVE-2026-109619 dans le centre de sécurité Amazon Linux.

  • Amazon Lightsail : Des plans Lightsail mis à jour sont désormais disponibles dans toutes les régions. AWS ne peut pas mettre à jour sur place les instances Lightsail en cours d’exécution. Les clients qui exécutent des charges de travail PHP sur Lightsail doivent créer de nouvelles instances à partir des plans mis à jour et migrer leurs applications en suivant la documentation.

  • AWS CodeBuild : À partir du 30 octobre 2026, AWS publiera des images sélectionnées de CodeBuild mises à jour intégrant PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les clients dont les projets utilisent la dernière image sélectionnée recevront la mise à jour lors de leur prochaine compilation, sans aucune action de leur part. Les clients qui ont fixé une version d’image particulière doivent passer à la dernière version, et ceux qui créent des images personnalisées à partir d’une image sélectionnée par CodeBuild doivent les reconstruire. PHP 8.1 et les versions antérieures sont en fin de vie et aucun correctif n’est prévu. Les clients qui sélectionnent ces versions dans leur buildspec doivent migrer vers une version de PHP prise en charge.
    CodeBuild n’exécute pas de serveurs PHP dans le cadre du service de compilation. Ces vulnérabilités ne concernent que les compilations qui démarrent un serveur PHP. Pour connaître les images et les versions d’environnement d’exécution disponibles, consultez Images Docker fournies par CodeBuild.

Consignes d’atténuation :

  • La mise à niveau immédiate vers une version corrigée de PHP est la seule solution complète : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Les modifications de configuration ci-dessous peuvent réduire l’impact pour les clients qui ne peuvent pas effectuer la mise à jour immédiatement, mais aucune ne constitue une mesure d’atténuation complète.

  • Consultez Security advisory: Critical remote code execution vulnerabilities, update now pour plus de mesures d’atténuation.

  • Environnements d’exécution en fin de vie, versions 5.4–8.1 : Appliquez des contrôles de configuration temporaires pour CVE-2026-109619 lorsqu’ils sont efficaces, redémarrez les processus de travail PHP et commencez immédiatement à migrer vers une branche PHP prise en charge et corrigée. Aucun correctif n’est disponible pour CVE-2026-109618 sur les branches en fin de vie.

  • Mesures compensatoires en cas d’utilisation d’AWS WAF :
    L’application des correctifs est la seule solution complète, et les clients doivent donner la priorité à la mise à jour de PHP. Comme le déploiement des correctifs sur une flotte de machines prend du temps, nous recommandons de consulter cet article de blog, qui explique comment utiliser le pare-feu d’applications Web (AWS WAF) pour réduire l’exposition pendant cette période. Veuillez noter que cet article de blog sera mis à jour à mesure que les recommandations concernant AWS WAF évolueront.

    Nous mettons continuellement à jour le groupe de règles gérées AWS WAF pour PHP afin d’ajouter une protection contre CVE-2026-109618 et CVE-2026-109619. Les clients qui utilisent la version par défaut bénéficieront automatiquement de cette protection, sans aucune action de leur part. Les clients qui ont fixé une version particulière doivent passer à la dernière version pour bénéficier de cette protection. Pour connaître la dernière version et obtenir des informations sur les règles ajoutées, consultez le journal des modifications des règles gérées AWS WAF et abonnez-vous à la rubrique SNS des règles gérées AWS.

Références :


Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.