Deux vulnérabilités critiques touchant le langage PHP ont été publiées le 21 octobre 2026 :

CVE-2026-109618 : exécution de code à distance par corruption de la mémoire lors d'une erreur de mémoire insuffisante.
CVE-2026-109619 : exécution de code à distance par réutilisation d'un état global obsolète (« use after free »).

Ces deux failles sont situées dans l'interpréteur PHP lui-même (php-src), un produit fréquemment utilisé pour le développement d’interface web. Elles touchent les versions suivantes :

PHP 8.2 avant 8.2.35;
PHP 8.3 avant 8.3.36;
PHP 8.4 avant 8.4.27;
PHP 8.5 avant 8.5.12.

Les applications Windows (WinUI), le portail Web (WebUI) et Octopus 5 ne sont pas affectés par ces vulnérabilités : Octopus est développé sur la plateforme Microsoft .NET et n'utilise PHP à aucun niveau.

Par conséquent :

Aucun code PHP n'est présent dans notre produit;
Aucun interpréteur PHP n'est livré ou requis;
Aucun composant tiers embarqué ne fait appel à PHP;
Aucune configuration IIS d'Octopus n'exécute de scripts PHP.

Aucune mise à jour d'Octopus et aucune action de votre part ne sont donc nécessaires pour ces deux vulnérabilités.

En revanche, si votre organisation est dans une des situations décrites plus bas, vous pourriez avoir à adresser la vulnérabilité au sein de ces systèmes adjacents qui ne sont pas sous la responsabilité de notre équipe :

• Utilise une page d’authentification écrite en PHP pour accéder au portail Web plutôt que la version .aspx fournie par notre équipe;
• Utilise une enveloppe (wrapper) en PHP pour le portail Web ou l’accès à des indicateurs de performance;
• Utilise des outils d’automatisation pour faciliter l’intégration de l’application dans votre écosystème.

Merci de votre collaboration habituelle
L'équipe Octopus