Veille sécuritéBackend & données
P3Élevée
Le scanner XML de PhpSpreadsheet ne détecte pas certains contenus XML dissimulés à l’aide de séquences d’échappement ISO-2022, ce qui permet une expansion d’entités et un déni de service. L’avis donne les versions corrigées pour les branches concernées ; les applications qui chargent des fichiers XLSX non fiables doivent mettre à niveau PhpSpreadsheet.
PHP
IdentifiantCVE-2026-108358
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.10.0, 3.10.8, 2.4.8, 2.1.19, 1.30.7
Source : GHSA-3×94-m842-937c — PhpSpreadsheet XmlScanner Bypass
Analyse technique
Le motif de XmlScanner ne prend pas en compte les séquences d’échappement ISO-2022 intercalées. Les correctifs indiqués sont 5.10.0, 3.10.8, 2.4.8, 2.1.19 et 1.30.7 selon la branche.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-27T15:38:28Z, dans la période demandée.
ImpactLe traitement d’un classeur XLSX malveillant peut provoquer une expansion d’entités et épuiser les ressources, notamment la mémoire.
Versions affectées4.0.0–5.9.0 ; 3.3.0–3.10.7 ; 2.2.0–2.4.7 ; 2.0.0–2.1.18 ; <= 1.30.6
Version corrigée5.10.0, 3.10.8, 2.4.8, 2.1.19, 1.30.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,48% · percentile 41,4%
Publication2026-10-27T15:38:28Z
Mise à jour2026-10-27T15:38:30Z
Action recommandée
Mettre à niveau vers la version corrigée correspondant à la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).