FICHE CVE

CVE-2026-74872

Publiée le 2026-08-17 · Dernière modification le 2026-10-08

🇫🇷 EN BREF

Les applications PHP utilisant des versions de `openssl_encrypt` antérieures à la version 1.4.0 sont vulnérables. Un attaquant capable de placer un fichier malveillant dans le répertoire site-packages du système peut exécuter du code natif arbitraire sur le serveur lors de l'appel au hachage Whirlpool. Comme l'attaque ne nécessite ni authentification ni interaction de l'utilisateur, elle est triviale à exécuter une fois le fichier malveillant positionné sur le disque.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

Chemin de recherche non fiable · CWE-426

Publiée2026-08-17

Dernière modification2026-10-08

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

openssl_encrypt versions before 1.4.0 contain an arbitrary code execution vulnerability in the Whirlpool hash implementation that uses broad glob patterns to load .so modules without integrity verification. Attackers can place malicious .so files matching the whirlpool*py313*.so pattern in site-packages directories to achieve native code execution when the module is loaded.