OUTILS INDÉPENDANTS DE SÉCURITÉ PHP
Une réponse fiable commence par la bonne version. Vérifiez le seuil de correction PHP2Shell et trouvez la prochaine étape adaptée à votre environnement.
Confidentialité : votre saisie reste dans ce navigateur.
PHP est le meilleur langage du monde
01 / VÉRIFIER VOTRE VERSION
Collez une version PHP, la sortie de php -v ou une version par ligne. Il s’agit d’une comparaison, sans test d’exploitation.
PHP2SHELL / FRAMEWORK / CMS
Corrigez PHP2Shell sur votre framework, blog ou boutique : identifiez PHP en service, vérifiez la compatibilité, levez les blocages et contrôlez les correctifs CVE-2026-109618 et CVE-2026-109619.
PHP2SHELL / Outils PHP2Shell
Vérifiez un site public, examinez des paramètres et journaux locaux ou trouvez des outils ouverts. Chaque résultat expose ses preuves et limites.
Vérifiez un site public, examinez des paramètres et journaux locaux ou trouvez des outils ouverts. Chaque résultat expose ses preuves et limites.
01PHP est le moteur de WordPress, Laravel et des plugins. Mettre à jour un plugin ne met pas PHP à jour. Deux failles mémoire peuvent transformer un nettoyage anormal de requête en divulgation ou exécution de code. Le contrôle public fournit des indices ; l’hébergeur doit confirmer le runtime Web et son correctif.
02Une requête multipart étrange ou une alerte WAF peut signaler une tentative. OOM, SIGSEGV/SIGABRT et pics HTTP 500 ont aussi des causes ordinaires. Processus enfants PHP, connexions, fichiers ou comptes inattendus exigent enquête. Une fuite mémoire peut ne laisser ni webshell ni fichier ; un scan propre ne l’exclut pas.
03Notez heure de découverte, domaine, instance, runtime, symptômes et dernier état fiable. Exportez journaux originaux et fuseaux, audits cloud et instantanés autorisés disponibles. Restreignez les copies et calculez leurs empreintes. N’envoyez pas de cookies, jetons ou données clients aux scanners publics. Ne videz pas les journaux et ne supprimez pas les fichiers suspects avant préservation.
04Les recherches décrivent des erreurs survivant aux requêtes. L’avis CVE-2026-109618 démontre une RCE mod_php ; l’exposition FPM repose sur le code, sans exploit FPM complet pour ce CVE. CVE-2026-109619 confirme séparément un chemin FPM lié à l’application et au suivi des téléversements. Vérifiez les preuves de chaque SAPI dans son GHSA.
05Cloudflare décrit une détection combinant requête et réponse d’origine, pouvant bloquer une réponse suspecte avant divulgation. Utile même sans lancement de shell. Le calendrier historique ne garantit pas votre couverture : vérifiez règles, routage, exclusions et événements. Les accès directs à l’origine et hôtes hors proxy doivent aussi être corrigés.
02 / SEUILS DE CORRECTION
Publiés par l’équipe de sécurité PHP le 21 octobre 2026. Comparez au sein de votre branche.
PHP.net ↗
| Branche PHP | Versions amont inférieures à | Première version corrigée | Fin du support de sécurité |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 déc. 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 déc. 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 déc. 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 déc. 2026 |
Aucune publication PHP habituelle n’est prévue pour ces branches. Des rétroportages source minimaux existent pour 7.4, 8.0 et 8.1. Vérifiez séparément le support du fournisseur. Lire le guide ↗
03 / DU CONTRÔLE AU CORRECTIF
Recensez chaque interpréteur PHP, source de paquets et gestionnaire de site.
Installez le binaire corrigé ou un rétroportage documenté.
Remplacez les processus actifs et vérifiez chaque instance.
Identifiez php*-common et le paquet du gestionnaire Web.
Lire le guideDistinguez paquets système, flux applicatifs et dépôts tiers.
Lire le guideRedémarrer le même conteneur n’installe aucun correctif.
Lire le guideLe PHP du panneau peut être distinct du PHP système.
Lire le guideMettre WordPress, Drupal ou Joomla à jour ne remplace pas PHP.
Lire le guidePHP2SHELL / CVE
PHP2Shell désigne des failles de sécurité mémoire dans PHP lui-même. Une application à jour peut utiliser un interpréteur non corrigé.
CVE-2026-109618 concerne une sortie prématurée sur OOM laissant accessible une mémoire partiellement initialisée, ensuite utilisée au nettoyage. Le patch remplace ce mécanisme par une gestion mémoire douce et dure. Une RCE complète est confirmée sur mod_php. FPM est considéré exposé à des chemins applicatifs, sans démonstration complète pour cette CVE.
Lire le guide ↗CVE-2026-109619 conserve des références à une mémoire de requête libérée. Une requête ultérieure sur le même processus peut les utiliser avant l’initialisation. Les chemins confirmés incluent les backtraces fatales de PHP 8.5 et le suivi des téléversements de session. Une RCE a été validée sur mod_php et FPM avec un chemin applicatif adapté.
Lire le guide ↗Non. FPM termine son processus enfant si le démarrage de requête échoue, ce qui bloque certaines séquences initiales. Les chemins applicatifs et interrequêtes subsistent. N’assimilez pas toutes les configurations à la démonstration mod_php, mais ne dispensez pas FPM de mise à jour.
Ubuntu, Debian et Linux d’entreprise conservent parfois un ancien numéro amont avec une révision corrigée. Un bandeau 8.3.6 ne prouve ni exposition ni correction. Vérifiez OS, dépôt, architecture et révision installée pour les DEUX CVE. Nous n’inventons pas de seuils de paquets.
Pas de version régulière du projet PHP. Des rétroportages source minimaux existent exceptionnellement pour 7.4, 8.0 et 8.1 ; compilation et validation relèvent de l’opérateur. Un fournisseur OS ou LTS peut maintenir des paquets. La recherche remonte à 5.4, selon les chemins. Préparez une migration et vérifiez tout correctif intermédiaire.
Seul le patch complet couvre les variantes. Une configuration peut limiter certains chemins et perturber téléversements, performances ou disponibilité. Appliquez-la administrativement avant l’analyse des requêtes et redémarrez tous les processus. Lisez les deux avis. CDN et WAF ne prouvent pas la correction.
Partez de la version. Appuyez-vous sur les preuves. Vérifiez les processus qui servent votre site.