Note de sécurité SUR LES failles PHP

N/Réf. : CASDNS-2026-001 

CVE-2026-109618 et CVE-2026-109619 

Le 21 octobre 2026, le CERT-FR a publié un bulletin n°CERTFR-2026-ALE-014 concernant deux vulnérabilités critiques relatives au PHP et pouvant conduire à l’exécution de code arbitraire à distance. 

Les modules suivants de la suite logicielle VisiMAX™ sont impactés :  

• Cartographie SIG via le package MS4W avec serveur Apache qui déploie PHP,
• Client « Web » de la Main courante développé en PHP,
• Client « Web » Portail VisiMAX™ développé en PHP,
• Client « Web » Vidéoverbalisation et PV Administratif développé en PHP,
• Client « Web » LAPI développé en PHP,
• Client « Web » Dossier de Sauvegarde Numérique développé en PHP.

A ce jour et dans l’attente de la mise à jour du package MS4W incluant le déploiement d’une version PHP sécurisée, CASD recommande à ses clients : 

• De s’assurer que l’installation vidéo soit sur un réseau fermé (non accessible depuis l’extérieur),
• Si ce n’était pas possible, de désactiver l’utilisation des modules cités ci-dessus.

Par ailleurs, la nouvelle version VisiMAX™ prévue pour le 1er trimestre 2027 prévoit l’abandon de l’utilisation du package MS4W.