Vérificateur de vulnérabilité en ligne gratuit, matrice des versions PHP sécurisées minimales (8.5.12, 8.4.27, 8.3.36, 8.2.35) et guides de correctifs.
Vérification passive : envoie une requête GET unique non destructive pour inspecter les en-têtes HTTP. Aucun exploit, aucun corps POST.
Source : Versions de sécurité officielles de php.net et avis GitHub (publiés le 21 octobre 2026).
| Branche PHP | Portée Vulnérable | Première Version Corrigée | Statut Officiel & Action Requise |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | 8.5.12 | Support Actif — Mettre à niveau vers 8.5.12+ |
| PHP 8.4 | < 8.4.27 | 8.4.27 | Support Actif — Mettre à niveau vers 8.4.27+ |
| PHP 8.3 | < 8.3.36 | 8.3.36 | Support Actif — Mettre à niveau vers 8.3.36+ |
| PHP 8.2 | < 8.2.35 | 8.2.35 | Sécurité uniquement (Fin déc 2026) — Mettre à niveau vers 8.2.35+ |
| PHP 8.6 | < 8.6.0RC4 | 8.6.0RC4 | RC de Développement — Tests uniquement, pas en production |
| PHP 8.1, 8.0, 7.4 | Toutes les versions | Aucune version officielle | Fin de Vie (EOL) — Vulnérable sauf si rétro-porté par le fournisseur |
| PHP 5.4 – 7.3 | Toutes les versions | Aucun correctif disponible | Obsolète et Vulnérable — Aucun correctif — désactiver session.upload_progress |
Ubuntu, Debian et RHEL rétro-portent les correctifs sans changer le numéro de version principal (ex. Ubuntu 22.04 fournit 8.1.2-1ubuntu2.28). Vérifiez le changelog de votre paquet avant de paniquer.
Suivez ces étapes dans un ordre strict. Rien d'autre n'offre une protection complète contre PHP2Shell.
Auditez les serveurs web, conteneurs Docker, images de base et environnements de pré-production. La version CLI (php -v) peut différer de celle réellement exécutée par PHP-FPM ou Apache.
Voir les commandes d'inventaire →Mettez à niveau vers les versions officielles : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Mettre à jour les extensions CMS (WordPress, Drupal, Laravel) ne corrige PAS les failles du moteur PHP.
Choisir le guide de plateforme →ÉTAPE CRITIQUE : Les binaires mis à jour ne sont chargés qu'après le redémarrage des pools de processus. Redémarrez immédiatement PHP-FPM, Apache, FrankenPHP et les workers.
Confirmez que le serveur web actif renvoie bien la version corrigée. Vérifiez les logs d'accès depuis début octobre 2026 pour détecter d'éventuels crashs anormaux lors d'uploads multipart.
Relancer le diagnostic →Commandes de mise à jour étape par étape, vérification du changelog et redémarrage de services adaptés à votre infrastructure.
Vérifiez les versions avec dpkg, confirmez les rétro-portages CVE, mettez à jour via apt-get et redémarrez les pools php-fpm en toute sécurité.
Lire le Guide Ubuntu / DebianLes conteneurs ne se mettent jamais à jour seuls. Téléchargez les images de base officielles corrigées (ex. php:8.3.36-fpm), reconstruisez vos stacks et déployez des conteneurs sains.
Lire le Guide DockerAuditez les installations multi-versions EasyApache 4 et les paquets CloudLinux alt-php. Vérifiez les changelogs RPM et mettez à niveau via dnf/yum.
Lire le Guide cPanelComment protéger les sites WordPress en hébergement partagé sans accès root. Modèles de tickets pour hébergeurs et mitigation temporaire par WAF.
Lire le Guide WordPressDéployez des filtres edge d'urgence avant la mise en œuvre des patchs serveur. Syntaxe des expressions WAF et limites d'inspection.
Lire le Guide Cloudflare WAFCommandes prêtes à copier-coller pour RHEL, Plesk, aaPanel et FrankenPHP afin de vérifier les builds actifs en cours d'exécution.
Accéder aux CommandesExécutez ces commandes via SSH sur vos serveurs pour déterminer la version réelle du paquet PHP actif :
dpkg -l 'php*' 'libapache2-mod-php*' | grep ^ii
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php*-common/changelog*rpm -qa | grep -Ei "^(php|ea-php|alt-php)" | sort
rpm -q --changelog php-common | grep -E "CVE-2026-10961[89]"docker exec -it <container_name> php -v
docker exec -it <container_name> php -m | grep sessionPas forcément. Masquer X-Powered-By ne fait que cacher la version ; cela ne résout pas la vulnérabilité sous-jacente. Exécutez les commandes CLI directement sur votre serveur.
Non. Il envoie une seule requête GET normale pour inspecter les en-têtes HTTP de réponse. Il n'émet aucune charge utile d'exploit, aucun corps POST et n'effectue aucun scan de fichiers.
Oui. Désactiver session.upload_progress.enabled = Off dans votre php.ini global et recharger PHP-FPM neutralise le vecteur principal du UAF. Cependant, la mise à jour officielle de PHP reste la seule solution complète.
La mise à jour des paquets ne remplace que les fichiers sur le disque. Les processus workers actifs conservent le code vulnérable en mémoire vive tant que les services ne sont pas redémarrés.
Non. Bien que les règles WAF puissent bloquer les signatures connues, les attaquants peuvent modifier les délimiteurs multipart ou fragmenter la requête pour contourner l'inspection.
Oui. Toutes les versions de PHP de 5.4 à 8.5 sont vulnérables au UAF RFC1867. Ces branches étant en fin de vie, vous devez appliquer des patchs de distribution ou désactiver upload_progress.
L'exécution pure en CLI sans traitement d'envois multipart POST n'est généralement pas exposée. Cependant, les SAPI accessibles via le web (PHP-FPM, Apache mod_php, FrankenPHP, Swoole) sont entièrement vulnérables.
Non. Les plugins de sécurité s'exécutent dans l'espace utilisateur de PHP APRÈS que le moteur a analysé les requêtes multipart. La faille se déclenche dans le code C natif avant l'exécution des plugins.
Analyse technique démontrant comment les attaquants arment PHP2Shell contre des systèmes protégés par ASLR sans divulgation préalable de mémoire. Étude des défauts de compilation PIE, de l'héritage de mémoire via fork() sous Linux et matrice comparative par distributions (Ubuntu, Debian, RHEL, Alpine).
Données brutes de télémétrie issues du réseau mondial de honeypots situés à Paris, Francfort et dans la Silicon Valley. Comment les cybercriminels ont transformé PHP2Shell (CVE-2026-109618 / CVE-2026-109619) en botnets automatisés de prise de contrôle à distance.
Audit approfondi en langage C de la vulnérabilité CVE-2026-109619. Analyse détaillée de php_session_rfc1867_callback(), de la persistance de pointeurs bruts dans l'état global et du déclenchement d'un Use-After-Free lors de la réinitialisation de session.
Avis technique détaillé sur les vulnérabilités PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Exécution de code à distance (RCE) non authentifiée affectant le cœur de PHP sur PHP-FPM, Apache mod_php et FrankenPHP. CVSS 9.2, versions PHP 5.4–8.5.
Guide d'atténuation technique pas à pas pour PHP2Shell (CVE-2026-109618 / CVE-2026-109619). Durcissement de php.ini sans interruption de service, règles de périmètre Nginx et compilation de correctifs d'urgence pour PHP 8.1 EOL.
Analyse architecturale complète de la chaîne d'exploitation RCE dans PHP2Shell. Infiltration dans le gestionnaire de tas Zend MM, fabrication d'un faux zval de 16 octets, contournement d'ASLR et redirection du flux d'exécution vers zif_system().
Analyse d'ingénierie offensive des charges utiles armées de PHP2Shell observées dans les attaques réelles. Pourquoi un exploit RCE complet mesure moins de 500 octets, pourquoi les filtres WAF échouent et comment opère la manipulation de frontière multipart.
Manuel d'ingénierie défensive pour contrer PHP2Shell. Signatures réseau Suricata prêtes pour la production (SID 10261092), règles de détection dynamique de processus sous Falco et traçage des appels système avec Linux auditd.
Guide opérationnel de défense pour ingénieurs DevOps et architectes système contre PHP2Shell (CVE-2026-109618 / CVE-2026-109619). Règles pas à pas sur Nginx, HAProxy, signatures Coraza WAF et bac à sable systemd sous Linux.
Mise en œuvre de la défense en profondeur ultime pour les environnements PHP-FPM. Comment utiliser les filtres Seccomp-BPF pour supprimer les capacités d'appels système execve, fork et clone, rendant les tentatives de RCE mathématiquement inopérantes.