FICHE CVE

CVE-2026-74889

Publiée le 2026-08-17 · Dernière modification le 2026-09-01

🇫🇷 EN BREF

Les applications PHP utilisant la fonction `openssl_encrypt` dans des versions antérieures à la 1.4.0 sont affectées par une faille dans la manière dont les clés cryptographiques sont générées. Un attaquant peut exploiter le caractère prévisible de ces clés pour déchiffrer des données sensibles ou compromettre des communications sécurisées via des attaques multi-cibles. Cela peut être exécuté à distance via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-326

Publiée2026-08-17

Dernière modification2026-09-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

openssl_encrypt versions before 1.4.0 use HKDF with no salt and static info parameter in key normalization functions, reducing entropy extraction and determinism. Attackers can exploit predictable key derivation with identical inputs to weaken cryptographic security against multi-target attacks.