Le 28 octobre 2026, la CISA a inscrit la CVE-2026-46300 au catalogue des vulnérabilités exploitées : une variable non initialisée dans le chemin ESP-in-TCP du noyau Linux, qui se chaîne avec les deux failles PHP2Shell pour implanter des webshells et exécuter des commandes en root. L’échéance de correction tombe le 31 octobre : patchez le noyau et cherchez les webshells sur vos serveurs PHP exposés.

Le 21 octobre 2026, PHP publie les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger CVE-2026-109618 et CVE-2026-109619, deux exécutions de code à distance non authentifiées présentes depuis PHP 5.4. Elles touchent 70 % des sites web, y compris WordPress, Drupal et Joomla : mettez à jour le moteur PHP, pas seulement vos applications.