VulnAway
fr de it en

CVE-2026-109618 NVD ↗

9.8
CVSS 3.1
CVSS v3.1 (FIRST) : score de base de 0,0 à 10,0 évaluant la gravité intrinsèque d’une vulnérabilité (vecteur d’attaque, complexité, privilèges, interaction utilisateur, portée, impact sur la confidentialité / l’intégrité / la disponibilité).
Affiché : 9.8 — nvd@nist.gov (Primaire)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Niveaux de gravité :
9.0 – 10.0 — Critique
7.0 – 8.9 — Élevée
4.0 – 6.9 — Moyenne
0.1 – 3.9 — Faible
9.2
CVSS 4.0
CVSS v4.0 (FIRST, 2023) : score de base de 0,0 à 10,0 évaluant la gravité intrinsèque d’une vulnérabilité. Ajoute les conditions d’attaque (AT), distingue l’impact sur le système vulnérable (VC/VI/VA) de celui sur les systèmes suivants (SC/SI/SA) et gère des métriques supplémentaires.
Affiché : 9.2 — security@php.net (Secondaire)
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Niveaux de gravité :
9.0 – 10.0 — Critique
7.0 – 8.9 — Élevée
4.0 – 6.9 — Moyenne
0.1 – 3.9 — Faible
11.6 %
EPSS actuel
EPSS (Exploit Prediction Scoring System, FIRST.org) : probabilité estimée que la CVE soit exploitée dans la nature dans les 30 prochains jours. Recalculé chaque jour. C’est une prédiction, pas une exploitation confirmée (voir KEV pour cela). Le percentile donne le rang parmi toutes les CVE notées.
≥ 95 % — exploitation quasi certaine (en rouge sur le graphique)
50 – 95 % — forte probabilité d’exploitation
10 – 50 % — patch prioritaire
1 – 10 % — à surveiller (le seuil d’alerte VulnAway est de 1 %)
< 1 % — faible probabilité
96.0 %
Percentile EPSS
Percentile EPSS : rang du score EPSS de cette CVE parmi toutes les CVE notées par FIRST.org. Ce n’est pas une probabilité — la probabilité est le score EPSS lui-même. Cette CVE a un score supérieur à 96.0 % des CVE notées.
≥ 95 % — top 5 % des CVE notées (rouge)
80 – 95 % — top 20 % (orange)
50 – 80 % — au-dessus de la médiane (jaune)
< 50 % — sous la médiane (vert)
Non
KEV
KEV — catalogue CISA des vulnérabilités exploitées connues (Known Exploited Vulnerabilities) : CVE pour lesquelles la CISA dispose de preuves d’exploitation active dans la nature. Chaque CVE listée a une échéance de correction pour les agences fédérales américaines.
Présente dans le KEV — la CISA a confirmé l’exploitation
Absente du KEV
Analysée
Statut NVD
Statut de la vulnérabilité dans NVD (vulnStatus)
Reçue — NVD a reçu la CVE depuis la CVE List ; pas encore traitée.
En attente d’analyse — En file d’attente d’analyse NVD ; pas encore de score CVSS NVD ni de produits (CPE).
Analyse en cours — Les analystes NVD y travaillent ; les données peuvent encore changer.
Analysée — Analyse NVD terminée : score CVSS NVD, faiblesses (CWE) et produits concernés (CPE) publiés.
Modifiée — Modifiée après l’analyse (nouvelles données du CNA ou mise à jour NVD).
Reportée — NVD ne l’analysera pas (typiquement des CVE anciennes ou peu prioritaires) ; données du CNA seulement.
Rejetée — Retirée par le programme CVE (doublon, invalide ou pas une vulnérabilité).
Publiée par NVD
2026-10-21 14:17:09 UTC
→
Détectée par VulnAway
2026-10-21 14:20:03 UTC
=
Délai de détection
2 min 54 s

Dernière modification NVD : 2026-10-23 16:26:54 (UTC).

Évolution de l’EPSS

0 %10 %20 %30 %40 %50 %60 %21.10 14:1722.10 07:4823.10 01:2023.10 18:5224.10 12:2410 % — Patch prioritaire50 % — Forte probabilité d’exploitation0.0 %5.3 %11.6 %0 % (pas encore d’EPSS) — depuis le 21.10 14:17 — 1 j 13 h5.3 % — depuis le 23.10 03:30 — 1 j11.6 % — depuis le 24.10 03:30 — 8 h 54 min (en cours)
Date (UTC)ÉvénementDétailCVSS 3.xCVSS 4.xEPSSKEV
2026-10-21 14:20PublicationCVE enregistrée9.89.20.0 %—
2026-10-23 03:30EPSSEPSS 0.0 % → 5.3 %9.89.25.3 %—
2026-10-24 03:30EPSSEPSS 5.3 % → 11.6 % (percentile 96.0 %)9.89.211.6 %—