Résumé
Les produits et services ZAPP ne sont pas concernés par les failles PHP CVE-2026-109618 et CVE-2026-109619. Aucune action n'est requise sur les instances Ecaldima, qu'elles soient hébergées par ZAPP ou installées chez nos clients.
| Élément | Information |
|---|---|
| Référence | ZAPP-SA-2026-001 |
| Gravité des failles | Critique (CVSS 9,2), exploitées activement |
| Statut des produits ZAPP | Non concernés |
| Action requise | Aucune sur les produits et services ZAPP |
| Destinataires | Partenaires et clients de ZAPP |
Les failles
Le 21 octobre 2026, les mainteneurs de PHP ont publié des correctifs pour deux failles critiques du moteur PHP, dites « PHP2Shell ». Elles permettent d'exécuter du code à distance sans authentification, avec les droits du serveur web.
| Faille | Gravité | Correctif |
|---|---|---|
| CVE-2026-109618 | Critique, CVSS 9,2 | PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 |
| CVE-2026-109619 | Critique, CVSS 9,2 | PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 |
| CVE-2026-115560 | Jugée peu probable par PHP | Pas encore publié au 27 octobre 2026 |
Le 26 octobre 2026, l'agence américaine CISA a ajouté les deux premières failles à sa liste des vulnérabilités activement exploitées. Selon les spécialistes, seule la mise à jour de PHP protège : les contournements par configuration qui circulent ne suffisent pas.
Périmètre évalué
Aucun produit Ecaldima n'utilise PHP. Les sites web de ZAPP, qui l'utilisent, ont été mis à jour.
| Produit ou service | Technologie | Base de données | Statut |
|---|---|---|---|
| Ecaldima V3 | ASP.NET MVC 4 | Microsoft SQL Server | Non concerné |
| Ecaldima V4 | .NET 9 (ASP.NET Core) | PostgreSQL | Non concerné |
| Portail MyZapp | .NET 9 (ASP.NET Core) | PostgreSQL | Non concerné |
| Hébergement SaaS Ecaldima (serveurs d'application, point d'entrée des instances, outils d'exploitation) | Sans PHP | — | Non concerné |
| Sites web de ZAPP | PHP | — | Corrigé : PHP mis à jour le 22 octobre 2026 |
Hors du périmètre de ZAPP
Cet avis porte uniquement sur les produits et services listés ci-dessus. Les systèmes, serveurs et applications que nos partenaires ou nos clients exploitent en dehors des produits et services ZAPP relèvent de leur exploitant. Il lui revient d'évaluer leur exposition et d'appliquer les correctifs de leurs éditeurs.
La répartition des responsabilités entre ZAPP et ses partenaires ou clients reste celle prévue par les contrats en vigueur. Cet avis ne la modifie pas.
Suivi et contact
ZAPP continue de suivre ces failles, en particulier CVE-2026-115560. Si l'une d'elles touchait un produit ou un service ZAPP, nous publierions une nouvelle version de cet avis sans délai.
Pour toute question, ouvrez une demande sur le portail MyZapp : https://myzapp.zappsl.com.
| Version | Date | Modification |
|---|---|---|
| 1.0 | 27 octobre 2026 | Première publication |
Sources
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching
- Rapid7 — CVE-2026-109618 and CVE-2026-109619
- Datadog Security Labs — PHP2Shell
- The Hacker News — CVE-2026-115560
ZAPP SL — NIF B86408291 — Calle Asturias, 4, 28850 Torrejón de Ardoz (Madrid), Espagne — contact@zappsl.com — Avis de sécurité ZAPP-SA-2026-001, version 1.0 du 27 octobre 2026