CVE-2026-81718
Publiée le 2026-08-27 · Dernière modification le 2026-08-31
Les versions de PHP utilisant `openssl_encrypt` antérieures à la 1.4.9 utilisent un nombre insuffisant d'itérations de hachage pour protéger les fichiers de clés PQC et les fichiers chiffrés. Si un attaquant obtient l'un de ces fichiers, il peut utiliser du matériel performant, tel que des GPU, pour forcer le mot de passe hors ligne et déchiffrer le contenu. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur, seulement la possession préalable du fichier chiffré.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
openssl_encrypt versions before 1.4.9 use under-parameterized PBKDF2-HMAC-SHA256 with only 100,000 iterations to protect PQC keyfile private keys and 10,000 iterations for dual-encryption file-password verification. Attackers who obtain keyfiles or encrypted files can brute-force wrapping passwords offline using GPU or ASIC acceleration.