FrankenPHP : exposition de phpinfo() dans certaines images Docker dérivées

Veille sécuritéBackend & données

P4Moyenne

Avant FrankenPHP 1.12.5, les images Docker Debian et Alpine officielles contiennent un fichier /app/public/index.php par défaut qui exécute phpinfo(). Si une image dérivée ne remplace pas ce fichier, la page de diagnostic peut révéler des variables d’environnement, la configuration PHP, les extensions chargées et des chemins système; les images utilisant leur propre point d’entrée ne sont pas concernées.

IdentifiantCVE-2026-85733

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.12.5

Source : NVD — CVE-2026-85733

Analyse technique

Le fichier par défaut expose une page phpinfo() lorsqu’il est servi en production; les informations divulguées peuvent inclure des variables d’environnement utilisées pour des secrets.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-13T17:17:47.563Z, dans la période demandée; l’événement retenu est la publication de cette vulnérabilité.

ImpactDivulgation de variables d’environnement, de paramètres PHP, d’extensions, de versions et de chemins système.

Versions affectéesFrankenPHP antérieur à 1.12.5, pour les images Docker officielles Debian et Alpine dérivées qui conservent le /app/public/index.php par défaut.

Version corrigée1.12.5

ContournementFournir un index.php propre à l’application dans /app/public et reconstruire les images dérivées concernées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-10-13T17:17:47.563Z

Mise à jour2026-10-13T18:17:26.160Z

Détection / vérification

Vérifier que l’image FrankenPHP dérivée fournit son propre /app/public/index.php et ne sert pas le fichier d’exemple par défaut.

Action recommandée

Mettre à niveau vers FrankenPHP 1.12.5 ou ultérieur et reconstruire les images dérivées affectées avec un index.php propre à l’application.

Sources

NVD — CVE-2026-85733

Priorisation DFS : P4 · 1 source(s).