PHP2Shell : deux failles critiques dans le cœur de PHP que WordPress ne corrigera pas à votre place

Deux failles critiques dans le cœur de PHP permettent d'exécuter du code à distance sans authentification, et les mises à jour de WordPress ne les corrigent pas. Voici les versions à viser et la marche à suivre.

7 nov. 2026 4 min

43

#php #securite #php-fpm

Sécurité

Drupal Commerce Core : une faille d'autorisation activement exploitée (CVE-2026-118539)

Une faille critique de contournement d'autorisation, activement exploitée, touche Drupal Commerce Core jusqu'aux versions 2.41 et 3.3.13. Voici comment vérifier votre exposition et corriger.

31 oct. 2026 5 min

75

#php #securite #cve

Sécurité

PHP2Shell : vérifier que le correctif tourne vraiment sur vos serveurs

Deux failles critiques du cœur de PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permettent de prendre la main sur un serveur sans authentification. Le correctif existe : voici comment s'assurer qu'il est actif, du paquet système au conteneur Docker.

22 oct. 2026 5 min

115

#php #securite #php-fpm

Sécurité

CVE-2026-108082 : une requête suffit à saturer le CPU de votre application Symfony

Une faille ReDoS dans HeaderUtils::split() de Symfony HttpFoundation permet à un attaquant anonyme de saturer le CPU via le header Cache-Control. Voici comment la comprendre et la corriger.

16 oct. 2026 1 min

127

#php #performance #securite

Piloter son site

Mises à jour de sécurité : votre entreprise est-elle réellement protégée ?

Chaque semaine, le CERT-FR publie la liste des failles de sécurité critiques à corriger. Savez-vous si votre prestataire informatique s'en occupe réellement ?

16 sept. 2026 3 min

181

#securite #tpe #cve

Sécurité

CVE-2026-56705 : exécution de code à distance sur Adminer avant toute authentification

Une faille critique (CVSS 9.8) dans le driver MSSQL d'Adminer permet d'exécuter du code PHP arbitraire sur un serveur sans aucune authentification préalable. Voici ce que ça implique et comment réagir.

2 sept. 2026 5 min

221

#php #securite #database-design

Sécurité

CVE-2026-38447 : osTicket génère des clés API prédictibles via MD5, CVSS 9.8

osTicket 1.18.3 génère ses clés API via un MD5 d'entrées prévisibles (timestamp, IP, seed constante), permettant une attaque par force brute sans authentification. CVSS 9.8, correctif disponible sur la branche main.

1 sept. 2026 5 min

337

#php #securite #open-source

Sécurité

"wp2shell : quand le Core WordPress devient une porte d'entrée pour les attaquants

wp2shell est une vulnérabilité RCE Pre-Auth dans WordPress Core affectant des millions de sites sans plugin ni configuration particulière. Voici comment réagir vite grâce à l'automatisation des déploiements.

19 juil. 2026 6 min

376

#securite #cve #vulnerabilites

Sécurité

Faille mémoire PHP juillet 2026 : comment vos pipelines CI/CD vous sauvent la mise en moins de 24h

Le 7 juillet 2026, PHP a corrigé simultanément une faille de corruption mémoire sur ses quatre branches actives (8.2 à 8.5). Découvrez comment des pipelines CI/CD bien configurés vous permettent de déployer ce type de patch critique en moins de 24h, sans stress.

13 juil. 2026 5 min

319

#php #securite #cve

Sécurité

Symfony UX 3.2.0 : nouvelles fonctionnalités et correctifs de sécurité critiques

Symfony UX 3.2.0 et 2.36.1 sont disponibles avec deux correctifs de sécurité critiques (XSS et path traversal) ainsi que de nouvelles fonctionnalités pour TwigComponent, Toolkit et Native. Une mise à jour immédiate est recommandée.

22 juin 2026 4 min

300

#securite #symfony #cve

Sécurité

CVE-2026-55878 : faille critique Path Traversal dans Symfony UX Toolkit, mettez à jour immédiatement

Une faille critique de type Path Traversal (CVE-2026-55878) dans symfony/ux-toolkit permet l'écriture et la lecture arbitraires de fichiers via des recettes malveillantes : mise à jour vers 2.36.1 ou 3.2.0 indispensable.

21 juin 2026 1 min

270

#securite #symfony #cve

Veille & Recherche IA

Mythos vs Claude : L'ère des LLM spécialisés a commencé

La NSA utiliserait Mythos, le modèle frontier d'Anthropic, pour des opérations cyber offensives, un signal fort de l'émergence des LLM ultra-spécialisés. Quelles implications concrètes pour nos architectures PHP/Symfony ?

7 juin 2026 5 min

391

#securite #anthropic #cve

Notre Blog