Résumé

  • Le 23 octobre, Ofcom a invité les fournisseurs de communications et les opérateurs de services essentiels du secteur numérique à examiner d'urgence les conseils du NCSC sur deux failles PHP critiques.
  • Le régulateur prévoit de parler aux services qu'il supervise dans les jours et semaines à venir pour comprendre leur remédiation au regard de leurs obligations existantes.

Une mise à jour de serveur paraît minuscule jusqu'au moment où il faut dire quel service en dépend. Ofcom a franchi cette étape le 23 octobre : son avis adresse l'alerte PHP à tous les fournisseurs de communications et aux opérateurs de services essentiels du sous-secteur des infrastructures numériques. Il annonce des échanges avec les services supervisés pour comprendre leur réponse. La question cesse alors de tenir dans un ticket technique : qui sait où tourne PHP et quel correctif s'y trouve ?

Le National Cyber Security Centre a décrit deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619. L'une touche le nettoyage de données de requête partiellement initialisées après un manque de mémoire; l'autre peut laisser un état de requête vivant après libération de sa mémoire. Certaines conditions ouvrent la voie à une exécution de code à distance sans authentification. Un fournisseur de réseau ne peut pas se contenter de regarder sa page d'accueil : les interfaces d'administration et les logiciels intégrés peuvent aussi embarquer PHP.

Le projet PHP a publié les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les distributeurs Linux et fournisseurs de support prolongé peuvent fournir des correctifs rétroportés. Le NCSC recommande de recenser les installations, de traiter d'abord celles accessibles depuis Internet, puis de mettre à jour. Si l'installation immédiate est impossible, ses mesures provisoires réduisent l'exposition; si ces mesures tardent aussi, il conseille d'envisager la mise hors ligne. Pour un système maintenu en service sans correction immédiate, il recommande de rechercher des traces de compromission avant l'intervention.

Ofcom a annoncé un dialogue de supervision, avec des services concernés à rencontrer dans les jours et semaines à venir. Cette formulation délimite l'acte : aucune entreprise nommée et aucun bilan d'incident dans l'avis. Le travail concret, lui, est déjà visible. Une équipe doit pouvoir distinguer ce qu'elle a trouvé, ce qu'elle a corrigé chez le fournisseur et ce qu'elle garde momentanément exposé. Un pourcentage global de « déploiement du patch » n'explique pas ces trois états.