Historique PHP2Shell : toutes les modifications de nos faits et guides

Qu’est-ce qui a changé le 22 octobre 2026 ?

• Langues : ajout de la version française du site. Les guides consacrés à certains panneaux, hébergeurs, systèmes et applications n’existent pour l’instant qu’en anglais.
• Vérificateur : ajout d’une vérification par URL. Saisissez l’adresse d’un site : le vérificateur lit la version de PHP dans ses en-têtes Server et X-Powered-By, selon la logique du php2shell-checker d’OpenAI, puis la juge avec les règles de ce site. Il envoie une seule requête HEAD et ne conserve rien au-delà d’un cache de 5 minutes. Les pages confidentialité et conditions d’utilisation ont été mises à jour.
• Vérificateur : vous pouvez désormais coller dans le champ de version la sortie du php2shell-checker d’OpenAI, une ligne php -v ou un en-tête X-Powered-By ; le vérificateur en extrait la version et applique ses règles habituelles.
• Faits : la page vulnérabilité PHP2Shell indique désormais si Node.js, Java ou d’autres langages sont concernés : ils ne le sont pas, PHP2Shell ne touche que les serveurs qui exécutent PHP.
• Guides : ajout de guides de correctif par configuration, chacun fondé sur l’annonce et la documentation du fournisseur concerné : panneaux de contrôle (Plesk, aaPanel, CyberPanel, CloudPanel, DirectAdmin, HestiaCP, 1Panel), hébergeurs (SiteGround, Hostinger, Kinsta, WP Engine, Cloudways, GoDaddy, Bluehost, AWS), serveurs (AlmaLinux/RHEL/Rocky, Amazon Linux 2023, Windows/IIS, LiteSpeed, XAMPP), applications (Magento, Drupal, Joomla, Laravel, Nextcloud, phpMyAdmin) et WAF (Cloudflare, AWS WAF et autres). La plupart de ces guides sont en anglais ; ceux qui existent en français sont listés sur la page du correctif.
• Faits : ajout des raisons pour lesquelles tant de sites ont été mis hors ligne (arrêts de précaution rapportés par Reuters) et de l’estimation d’exposition d’Unit 42, avec ses limites.
• Éditeurs : 宝塔 (l’édition chinoise d’aaPanel) a publié des correctifs : PHP 8.2 à 8.5 correspondent aux versions corrigées officielles, et 宝塔 a empaqueté ses propres versions corrigées 7.4.34, 8.0.27 et 8.1.35. Le vérificateur considère 7.4.34 et 8.1.35 comme corrigées lorsque vous choisissez « 宝塔 / aaPanel » comme source. Il ne reconnaît que la version exacte : un numéro plus élevé comme 8.0.30 est une ancienne version php.net sans le correctif, et 8.0.27 est aussi un ancien numéro de version php.net ; dans les deux cas, le vérificateur vous demande désormais de confirmer dans le panneau au lieu d’afficher « corrigé ».
• Faits : ajout de quatre nouvelles alertes nationales : la CISA (États-Unis), le CERT-In (Inde), l’ACN / CSIRT Italia (Italie) et la Direction de la cybersécurité de Turquie. La liste compte désormais 21 alertes de 16 pays et régions ; l’Italie et la Turquie sont signalées comme pas encore vérifiées à la source. L’entrée du Canada renvoie désormais à son alerte AL26-026, que nous avons vérifiée.
• Faits : la CISA et le Centre canadien pour la cybersécurité ont indiqué n’avoir observé aucune exploitation au moment de leur publication. Le statut d’exploitation reste « tentatives d’attaque observées », sans compromission réussie confirmée.
• Faits : ajout du score CVSS 4.0 de 9,2 pour CVE-2026-109618 comme pour CVE-2026-109619, d’après les avis de sécurité GitHub.
• Faits : ajout de deux mesures temporaires officielles pour CVE-2026-109618, tirées de l’annonce de PHP : supprimer la limite de mémoire de PHP et réduire post_max_size. Comme les autres mesures temporaires, elles ne comptent jamais comme un correctif.
• Faits : statut d’exploitation passé à « tentatives d’attaque observées ». Cloudflare a signalé du trafic d’attaque et des charges modifiées avant le correctif. Aucune compromission réussie n’est confirmée.
• Faits : ajout des premières alertes d’agences nationales de cybersécurité, chacune signalée selon que nous l’avons vérifiée à la source ou non.
• Faits : confirmation des correctifs minimaux du code source publiés par PHP pour PHP 7.4, 8.0 et 8.1 (pas de nouvelle version pour ces branches).
• Guides : ajout de guides en japonais pour quatre hébergeurs japonais.
• Vérificateur : les verdicts reposent uniquement sur les informations que vous saisissez dans votre navigateur ; le site ne contacte jamais votre serveur.
• Pages CVE : les pages CVE-2026-109618 et CVE-2026-109619 s’ouvrent désormais sur une fiche de vulnérabilité générée à partir de nos données : CVSS, versions affectées et corrigées, configurations touchées, mesures temporaires, statut d’exploitation, paquets corrigés des distributions et sources officielles.
• Guides : ajout de PHP2Shell et WordPress, un autodiagnostic pour les propriétaires de sites WordPress.

Que contenait la première version du 21 octobre 2026 ?

• Faits : versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12, d’après l’annonce de sécurité de PHP.
• Faits : détails des vulnérabilités d’après les avis GHSA-w8hw-w9fx-j79w et GHSA-6wmf-4rv5-p3rp.
• Faits : versions des paquets des éditeurs d’après les bulletins de sécurité d’Ubuntu et de Debian.
• Règles : vérification de version avec quatre verdicts : dans la plage affectée, correspond à une version corrigée, vérifiez le correctif de votre fournisseur, impossible de conclure pour l’instant.
• Guides : guide du correctif avec un message pour les hébergeurs, ainsi que des guides pour WordPress, cPanel et Plesk, Ubuntu et Debian, Docker, les versions de PHP en fin de vie, les mesures temporaires et la recherche d’intrusion.

Que suivons-nous pour cet historique ?

Les annonces et avis de sécurité de PHP, les bulletins des éditeurs de systèmes d’exploitation, les annonces des hébergeurs, les agences nationales de cybersécurité et la recherche d’origine. Les retouches purement rédactionnelles ne sont pas listées ; tout fait nouveau ou corrigé, toute règle de verdict et toute étape de guide le sont.

Vous avez trouvé une erreur ?

Indiquez-nous la page et un lien vers votre source ; nous corrigeons les faits rapidement et consignons la correction ici. Voir à propos de PHP2Shell.help, ou revenez au vérificateur PHP2Shell.