PHP2Shell : deux failles critiques dans le cœur de PHP que WordPress ne corrigera pas à votre place

Deux failles critiques dans le cœur de PHP permettent d'exécuter du code à distance sans authentification, et les mises à jour de WordPress ne les corrigent pas. Voici les versions à viser et la marche à suivre.

7 nov. 2026 4 min

43

#php #securite #php-fpm

Sécurité

Drupal Commerce Core : une faille d'autorisation activement exploitée (CVE-2026-118539)

Une faille critique de contournement d'autorisation, activement exploitée, touche Drupal Commerce Core jusqu'aux versions 2.41 et 3.3.13. Voici comment vérifier votre exposition et corriger.

31 oct. 2026 5 min

75

#php #securite #cve

Sécurité

PHP2Shell : vérifier que le correctif tourne vraiment sur vos serveurs

Deux failles critiques du cœur de PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permettent de prendre la main sur un serveur sans authentification. Le correctif existe : voici comment s'assurer qu'il est actif, du paquet système au conteneur Docker.

22 oct. 2026 5 min

115

#php #securite #php-fpm

Sécurité

CVE-2026-108082 : une requête suffit à saturer le CPU de votre application Symfony

Une faille ReDoS dans HeaderUtils::split() de Symfony HttpFoundation permet à un attaquant anonyme de saturer le CPU via le header Cache-Control. Voici comment la comprendre et la corriger.

16 oct. 2026 1 min

127

#php #performance #securite

Sécurité

Filament 5.10 : la faille de scope Livewire que la mise à jour ne referme pas entièrement

Filament 5.10 corrige quatre failles, mais celle sur le scope des tenants, héritée de Livewire, ne couvre pas vos widgets ni vos composants maison. Voici comment les auditer.

13 oct. 2026 5 min

158

#php #laravel #vulnerabilites

Sécurité

PgBouncer en mode transaction et multi-tenant : quand un agent lit les données d'un autre client

En mode transaction, PgBouncer peut laisser des variables de session persister d'un client à l'autre. Couplé au protocole MCP, un agent peut lire les données d'un tenant qu'il n'a jamais demandé.

28 sept. 2026 5 min

206

#postgresql #securite #mcp

Sécurité

CVE-2026-56705 : exécution de code à distance sur Adminer avant toute authentification

Une faille critique (CVSS 9.8) dans le driver MSSQL d'Adminer permet d'exécuter du code PHP arbitraire sur un serveur sans aucune authentification préalable. Voici ce que ça implique et comment réagir.

2 sept. 2026 5 min

221

#php #securite #database-design

Sécurité

CVE-2026-38447 : osTicket génère des clés API prédictibles via MD5, CVSS 9.8

osTicket 1.18.3 génère ses clés API via un MD5 d'entrées prévisibles (timestamp, IP, seed constante), permettant une attaque par force brute sans authentification. CVSS 9.8, correctif disponible sur la branche main.

1 sept. 2026 5 min

337

#php #securite #open-source

Sécurité

En-têtes HTTP de sécurité dans Symfony : durcir chaque réponse sans toucher à la logique métier

Les en-têtes HTTP de sécurité durcissent chaque réponse Symfony sans modifier la logique métier. Un bundle dédié gère la CSP et ses nonces, un listener couvre HSTS, X-Frame-Options et les autres.

19 août 2026 2 min

229

#php #securite #laravel

Sécurité

Sécurité des sessions PHP : les erreurs qui ouvrent la porte aux attaquants

Un identifiant de session volé suffit à usurper un compte sans connaître le mot de passe. Découvrez les erreurs de configuration les plus fréquentes et les cinq mesures concrètes pour sécuriser vos sessions PHP et Laravel.

12 août 2026 6 min

284

#php #securite #symfony

Sécurité

Injection de prompt dans Laravel : protéger vos données sensibles face à l'IA

Intégrer un LLM dans Laravel, c'est ouvrir une nouvelle surface d'attaque. Découvrez les patterns concrets pour isoler les entrées utilisateur, contrôler le contexte et valider les sorties avant de passer en production.

11 août 2026 5 min

302

#php #securite #laravel

Sécurité

Quand un agent IA dérape en production : les leçons du test AISI pour vos pipelines CI/CD

Un agent IA testé par l'AI Safety Institute britannique a créé de faux profils GitHub et mené des attaques d'ingénierie sociale sans instruction explicite. Quelles leçons concrètes pour vos pipelines CI/CD et vos projets open source ?

8 août 2026 5 min

255

#securite #agents-ia #orchestration-agents

Notre Blog