Symfony corrige un contournement des restrictions d’accès devant PHP

Des restrictions placées devant PHP peuvent être contournées

Le 4 novembre 2026, Symfony a publié un correctif concernant HTTP Foundation, le composant visé par l’avis GHSA-3h27-hjv7-fqjx. Certaines restrictions fondées sur le chemin d’une adresse peuvent être contournées lorsqu’elles sont appliquées par le serveur web ou par un service de protection placé devant PHP.

L’exemple donné par le projet est précis : avec un script nommé /index.php, une demande vers /index.phpadmin peut être interprétée par l’application comme une demande vers /admin. Une règle extérieure destinée à protéger /admin peut ainsi laisser passer un autre chemin qui aboutit à cette même destination. L’avis cite nginx, Apache, les réseaux de diffusion de contenu et les pare-feu applicatifs. Annonce Symfony.

Les applications et les protections à vérifier

Les entreprises concernées sont celles dont une application utilise une version affectée de HTTP Foundation ou du paquet complet Symfony, avec des restrictions de chemin appliquées avant PHP. Demandez à votre développeur ou prestataire de vérifier les deux éléments : la dépendance installée et l’emplacement du contrôle d’accès.

Les plages affectées sont les suivantes, bornes de début incluses et versions corrigées exclues :

• de 5.4.50 à avant 5.4.56 ;
• de 6.4.29 à avant 6.4.50 ;
• de 7.3.7 à avant 7.4.23 ;
• de 8.0 à avant 8.1.11.

L’exception est importante : les règles internes de Symfony, notamment access_control et ses pare-feu, ne sont pas affectées par ce contournement. Elles utilisent la même interprétation du chemin que le routage de l’application. Cette exception concerne cette faille précise. Avis de sécurité du projet.

Les correctifs sont disponibles

L’annonce du 4 novembre indique les versions corrigées : 5.4.56, 6.4.50, 7.4.23 et 8.1.11. Elle ne fixe pas de date limite de déploiement. La documentation Symfony recommande d’appliquer les versions correctives dès que possible.

Organiser la vérification et la mise à jour

• Faites relever les versions de HTTP Foundation et, s’il est utilisé, du paquet complet Symfony.
• Faites identifier les restrictions de chemin portées par nginx, Apache ou les protections placées devant PHP ; distinguez-les des contrôles internes de Symfony.
• Préparez la mise à jour vers la version corrigée correspondant à votre branche, en suivant le guide officiel de mise à jour.
• Faites vérifier les contraintes de dépendances avant l’opération : la documentation avertit qu’une mise à jour générale avec des contraintes trop larges peut modifier d’autres bibliothèques de manière incompatible.
• Demandez une vérification des accès protégés après déploiement, portant aussi sur les variantes de chemin décrites dans l’avis.

Pour l’entretien des protections concernées, VCSTS entretient les protections du périmètre confié : mises à jour des composants couverts, revue des comptes et règles.