PHP2Shell : deux failles critiques dans le cœur de PHP que WordPress ne corrigera pas à votre place

Deux failles critiques dans le cœur de PHP permettent d'exécuter du code à distance sans authentification, et les mises à jour de WordPress ne les corrigent pas. Voici les versions à viser et la marche à suivre.

7 nov. 2026 4 min

43

#php #securite #php-fpm

Sécurité

Drupal Commerce Core : une faille d'autorisation activement exploitée (CVE-2026-118539)

Une faille critique de contournement d'autorisation, activement exploitée, touche Drupal Commerce Core jusqu'aux versions 2.41 et 3.3.13. Voici comment vérifier votre exposition et corriger.

31 oct. 2026 5 min

75

#php #securite #cve

Sécurité

PHP2Shell : vérifier que le correctif tourne vraiment sur vos serveurs

Deux failles critiques du cœur de PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permettent de prendre la main sur un serveur sans authentification. Le correctif existe : voici comment s'assurer qu'il est actif, du paquet système au conteneur Docker.

22 oct. 2026 5 min

115

#php #securite #php-fpm

Sécurité

CVE-2026-108082 : une requête suffit à saturer le CPU de votre application Symfony

Une faille ReDoS dans HeaderUtils::split() de Symfony HttpFoundation permet à un attaquant anonyme de saturer le CPU via le header Cache-Control. Voici comment la comprendre et la corriger.

16 oct. 2026 1 min

127

#php #performance #securite

Sécurité

Filament 5.10 : la faille de scope Livewire que la mise à jour ne referme pas entièrement

Filament 5.10 corrige quatre failles, mais celle sur le scope des tenants, héritée de Livewire, ne couvre pas vos widgets ni vos composants maison. Voici comment les auditer.

13 oct. 2026 5 min

158

#php #laravel #vulnerabilites

Sécurité

PgBouncer en mode transaction et multi-tenant : quand un agent lit les données d'un autre client

En mode transaction, PgBouncer peut laisser des variables de session persister d'un client à l'autre. Couplé au protocole MCP, un agent peut lire les données d'un tenant qu'il n'a jamais demandé.

28 sept. 2026 5 min

206

#postgresql #securite #mcp

Piloter son site

Mises à jour de sécurité : votre entreprise est-elle réellement protégée ?

Chaque semaine, le CERT-FR publie la liste des failles de sécurité critiques à corriger. Savez-vous si votre prestataire informatique s'en occupe réellement ?

16 sept. 2026 3 min

181

#securite #tpe #cve

Sécurité

CVE-2026-56705 : exécution de code à distance sur Adminer avant toute authentification

Une faille critique (CVSS 9.8) dans le driver MSSQL d'Adminer permet d'exécuter du code PHP arbitraire sur un serveur sans aucune authentification préalable. Voici ce que ça implique et comment réagir.

2 sept. 2026 5 min

221

#php #securite #database-design

Sécurité

CVE-2026-38447 : osTicket génère des clés API prédictibles via MD5, CVSS 9.8

osTicket 1.18.3 génère ses clés API via un MD5 d'entrées prévisibles (timestamp, IP, seed constante), permettant une attaque par force brute sans authentification. CVSS 9.8, correctif disponible sur la branche main.

1 sept. 2026 5 min

337

#php #securite #open-source

Le web sans jargon

L'IA au service des pirates : pourquoi le risque cyber explose pour toutes les entreprises

L'intelligence artificielle a plus que doublé le volume des cyberattaques, selon la société de sécurité TeamT5. Les PME, souvent moins protégées, sont désormais des cibles accessibles.

26 août 2026 4 min

247

#securite #ia-generative #claude-code

Sécurité

En-têtes HTTP de sécurité dans Symfony : durcir chaque réponse sans toucher à la logique métier

Les en-têtes HTTP de sécurité durcissent chaque réponse Symfony sans modifier la logique métier. Un bundle dédié gère la CSP et ses nonces, un listener couvre HSTS, X-Frame-Options et les autres.

19 août 2026 2 min

229

#php #securite #laravel

IA & Ingénierie

Vos system prompts peuvent être reconstitués à partir des réponses de vos LLM : ce que ça change pour vos applications Symfony

Des chercheurs ont démontré qu'il est possible de reconstituer vos system prompts LLM avec une précision quasi parfaite à partir des seules réponses API. Voici ce que ça implique concrètement pour vos intégrations Symfony.

14 août 2026 6 min

296

#securite #symfony #architecture

Notre Blog