CPA2026-008 : Vulnérabilités critiques dans PHP

 

23 octobre 2026

 

Mis à jour le 30 octobre 2026

 

Deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619) ont été découvertes dans PHP, pouvant permettre l'exécution de code à distance sans authentification.

 

Nous avons examiné l'impact de ces vulnérabilités sur les produits et services de marque Canon. Nous avons terminé l'évaluation d'un grand nombre de produits et services et, par conséquent, aucun impact défavorable sur les clients n'a été confirmé à ce jour. Pour les produits et services Internet de marque Canon répertoriés dans le cadre de notre évaluation à ce jour, les mises à jour nécessaires ont été appliquées, sans qu'aucune mesure de la part des clients ne soit requise. Nous continuons d'évaluer les autres produits et services de marque Canon.

 

Nous soulignons que les applications et services Canon USA suivants ont été touchés par les vulnérabilités PHP mentionnées ci-dessus, mais ont été rapidement corrigés :

• Scan for QuickBooks Online (version Web pour les utilisateurs de QBO)*
• Programme d'installation du logiciel R40 Receipt Edition pour Windows*
• Programme d'installation du logiciel R40 Receipt Edition pour Mac*
• Plugiciel CaptureOnTouch Scan to QuickBooks Online Pro pour macOS*
• Plugiciel CaptureOnTouch Scan to QuickBooks Online Pro pour Windows*
• Plugiciel CaptureOnTouch Scan to Legal Case pour Windows*
• Quick Scan (utilisateurs de Box)*
• LFP e-Service* 

Canon prend les vulnérabilités de sécurité très au sérieux et veille à ce que ses clients puissent utiliser ses produits et services en toute confiance. Les applications touchées mentionnées ci-dessus ont été corrigées sur les systèmes infonuagiques où le composant PHP était présent. Aucune autre mesure n'est requise de la part des clients. À cette étape de notre enquête, nous avons également conclu que les produits affiliés à Canon suivants ne sont pas touchés :

• Readiris PDF, IRISPowerscan, IRISPulse, IRISOCR et IRISXtract
• Therefore™ Online et Therefore™ On-Premises
• uniFLOW Online et serveur uniFLOW
• ONYX Align*
• ONYX Thrive, ONYX PosterShop et ONYX RIPCenter, toutes les versions
• prises en charge, y compris les composants intégrés tels qu'ONYX Cut-Server, Media
• Manager, Dashboard et Layout Tool* Si nous constatons que d'autres produits ou services pourraient être touchés par ces vulnérabilités, le présent avis sera mis à jour en conséquence.

Historique des mises à jour : 

30 octobre 2026 : Mise à jour de l'état de l'enquête pour les produits de marque Canon (**) 

28 octobre 2026 : Mise à jour de la liste des produits touchés et non touchés (*). 

23 octobre 2026 : Création.