Que recherchez-vous ?
Avis de sécurité : vulnérabilité PHP
CVE-2026-109618 et CVE-2026-109619
30 octobre 2026
Vue d'ensemble
Keysight a pris connaissance de deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, signalées dans le langage de script PHP et susceptibles de permettre l'exécution de code à distance (RCE). Ces deux vulnérabilités ont été rendues publiques le 21 octobre 2026, et le projet PHP leur attribue à chacune une note de 9,2 (critique) sur l'échelle CVSS v4.0. Des tentatives d'exploitation ont été signalées publiquement.
La vulnérabilité CVE-2026-109618 est liée à une gestion incorrecte des situations de manque de mémoire, ce qui peut laisser la mémoire d'une requête dans un état invalide ou partiellement initialisé, pouvant entraîner une corruption de mémoire lors du nettoyage de la requête et permettre une exécution de code à distance (RCE). La vulnérabilité CVE-2026-109619 est liée à l'état d'une requête PHP qui peut continuer à référencer de la mémoire après que celle-ci a été libérée ; une requête ultérieure sur le même worker peut utiliser cet état obsolète avant qu'il ne soit entièrement initialisé, ce qui peut également entraîner une exécution de code à distance (RCE). L'équipe du projet PHP a publié des correctifs dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Au 27 octobre, Keysight poursuit l'évaluation de l'impact potentiel de ces vulnérabilités sur l'ensemble de sa gamme de produits. D'après les évaluations réalisées à ce jour, la plupart des émulateurs de trafic IP, sans fil et de sécurité de Keysight, ainsi que les produits de surveillance des opérations réseau (anciennement Ixia NAS) ne sont pas concernés¹ car soit ils n'utilisent pas PHP, soit le composant PHP affecté a été supprimé de la version logicielle concernée. Pour les produits identifiés comme affectés, la liste ci-dessous indique le statut de la vulnérabilité concernée ainsi que les mesures correctives ou d'atténuation recommandées.
Produits concernés, mesures d'atténuation et actions recommandées
| Produit concerné | Atténuation | Mesures recommandées |
|---|---|---|
| Hawkeye — Potentiellement concerné par la vulnérabilité CVE-2026-109619. Hawkeye utilise PHP 8.2.33 avec Nginx. L'équipe technique a déterminé que Hawkeye n'était pas concerné par la vulnérabilité CVE-2026-109618. Une exposition à la vulnérabilité CVE-2026-109619 est jugée peu probable, mais n'a pas été définitivement écartée. | Keysight prépare une mise à jour de PHP 8.2.35 dans la version v6.1.1-101. | Les clients sont invités à consulter régulièrement le site d'assistance de Keysight et à installer la mise à jour logicielle correspondante dès qu'elle sera disponible. |
| iBypass HD — Vulnérable lorsque le serveur Web est activé. iBypass HD utilise PHP 5.6.31. Le produit a atteint la fin de son cycle de développement et aucune nouvelle version n'est prévue. | Le serveur web est désactivé par défaut. S'il a été explicitement activé, désactivez-le à l'aide de la commande CLI indiquée dans la section « Action recommandée ». | Les clients doivent veiller à ce que le serveur Web reste désactivé. Si le serveur Web a été activé, désactivez-le depuis l'interface en ligne de commande (CLI) à l'aide de la commande suivante : websrv set admin=disable |
Produits jugés non vulnérables
| Produits jugés non vulnérables | Mesures recommandées |
|---|---|
| Broker de paquets Vision Network fonctionnant sous NVOS 6.6.0 ou une version plus récente Le composant PHP concerné a été supprimé à partir de la version 6.6.0. Cette évaluation concerne les modèles Vision 7300, Vision Edge 10S (E10S), Vision Edge 40 (E40), Vision Edge 50 (E50), Vision Edge 100 (E100), Vision 7712, Vision 7816, Vision X, Vision ONE, TradeVision, Vision 400, Vision Edge 400P (E400P), Vision 400XT (V400XT), Vision X 400G (VX 400G), Vision Edge OS - 9516 (9516), Vision Edge 400P Rev2 (E400P Rev2) et Vision Edge 400S (E400S). | Les clients doivent vérifier que leurs systèmes fonctionnent sous NVOS 6.6.0 ou une version plus récente. Les clients utilisant une version antérieure doivent contacter le support technique de Keysight pour obtenir des conseils spécifiques. |
Vision Industrial Network Packet Brokers | Aucune action n'est requise |
| Logiciels de visibilité et produits cloud Keysight Vision Orchestrator (KVO), Virtual Packet Broker (vPB), 5G Service-Based Interface (5G SBI), CloudLens vTAP, AppStack et TimeKeeper n'utilisent pas PHP. | Aucune action n'est requise |
| Produits iBypass et iLinkAgg Les modèles IXPR-CU3, IXTP-CU3, IXBP-CU3, iBypass DUO, iBypass 100G, iBypass VHD et iLinkAgg2 n'utilisent pas PHP. Le reste de la gamme évaluée n'utilise pas PHP ou ne propose pas d'interface graphique basée sur PHP. | Aucune action n'est requise |
| Produits ThreatARMOR | Aucune action n'est requise |
| IFC-CM (Indigo Pro) | Aucune action n'est requise |
| Produits de test réseau IxNetwork n'utilise pas le moteur d'exécution Web PHP ; les éditions IxNetwork VE (Virtual Editions) et BreakingPoint VE ne sont pas vulnérables ; IxLoad, CyPerf, BreakingPoint System (BPS), IxOS, IxVeriwave, LoadCore et KCOS n'utilisent pas PHP. | Aucune action n'est requise |
Pour les produits ou versions qui ne figurent pas explicitement dans la liste, veuillez contacter le service d'assistance Keysight afin d'obtenir une évaluation spécifique à chaque produit.
Détails de la vulnérabilité
| CVE | Description | CVSS v4.0 | Corrigé en PHP |
|---|---|---|---|
| CVE-2026-109618 | Exécution de code à distance via une corruption due à un dépassement de mémoire : une requête interrompue laisse des données internes partiellement initialisées, et le processus de nettoyage de la requête les considère comme valides. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| CVE-2026-109619 | Exécution de code à distance via un état global périmé : l'état associé à une requête subsiste après la libération de sa mémoire et est réutilisé par une requête ultérieure sur le même worker. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
Le projet PHP indique que toutes les installations PHP traitant des requêtes Web sont exposées à ce risque, notamment PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. Les versions 8.1 et antérieures de PHP ne bénéficient plus de mises à jour de la part du projet PHP.
Impact potentiel
- Exécution de code contrôlé par un attaquant sur un serveur web vulnérable sans authentification, ce qui peut permettre d'accéder au système de fichiers et aux bases de données et entraîner une interruption des services.
- Risque de divulgation du contenu de la mémoire, tel que des identifiants, des clés ou des données de session.
Une interface d'administration compromise peut servir de point d'ancrage pour accéder au réseau environnant.
Pour toute question supplémentaire, veuillez contacter Keysight.
1 Keysight a déployé tous les efforts commercialement raisonnables pour établir la liste des produits concernés par la vulnérabilité PHP. Keysight met ces informations à votre disposition à titre indicatif et ne garantit pas leur exhaustivité.
Vous avez besoin d'aide ou vous avez des questions ?