Règles

Ce marché sera résolu sur « Oui » si une vulnérabilité critique de PHP est divulguée publiquement pour la première fois entre la création du marché et le 31 décembre 2026 à 23:59 ET, et si elle satisfait à toutes les exigences ci-dessous avant cette échéance. Dans le cas contraire, ce marché sera résolu par « Non ». La divulgation publique désigne la mise à disposition d’informations suffisantes pour identifier la vulnérabilité concernée, que ce soit au moyen d’un avis officiel, d’une publication de chercheurs, d’une fuite ou d’un commit de code public. Un avertissement général concernant une vulnérabilité non précisée ne suffit pas à lui seul pour remplir les critères. Une vulnérabilité divulguée publiquement avant la création du marché ne remplira pas les critères au seul motif qu’elle reçoit un identifiant CVE ou une note admissible pendant la période du marché. Une vulnérabilité admissible doit affecter PHP lui-même (l’interpréteur PHP et les extensions intégrées au code source officiel php-src), se voir attribuer un identifiant CVE accessible au public et recevoir une note de base CVSS d’au moins 9.0, publiée par le projet PHP ou la National Vulnerability Database (NVD) des États-Unis (quelle que soit la version de CVSS). Les vulnérabilités qui affectent uniquement des versions de PHP non prises en charge ou des extensions intégrées facultatives rempliront les critères si elles satisfont par ailleurs à ces exigences. Les extensions distribuées séparément de php-src (par exemple via PECL) ne rempliront pas les critères. Une note admissible provenant de l’une ou l’autre source suffit, indépendamment d’une note inférieure attribuée par l’autre source ou selon une autre version de CVSS. Seule compte une note publiée par la NVD elle-même (attribuée au NIST) ou par le projet PHP ; les notes affichées par la NVD mais attribuées à toute autre organisation ne remplissent pas les critères. Une fois que toutes les exigences ont été remplies pendant la période du marché, les révisions ultérieures de la note n’auront aucune incidence sur le résultat. CVE-2026-109618 et CVE-2026-109619 (« PHP2Shell ») ne rempliront pas les critères. Les vulnérabilités de logiciels tiers écrits en PHP ou fonctionnant sur PHP (par exemple, WordPress, Laravel, Drupal, les plugins ou d'autres frameworks et bibliothèques) ne sont pas admissibles. La principale source de résolution de ce marché sera constituée des informations officielles du projet PHP (notamment php.net et les avis de sécurité GitHub de php-src) et de la NVD (https://nvd.nist.gov) ; toutefois, un consensus de sources d’information crédibles pourra également être utilisé.

Traduction automatique. En cas de litige, l'original fait foi.