Le php2shell-checker d’OpenAI : comment l’exécuter et interpréter ses résultats

Qu’est-ce que le php2shell-checker d’OpenAI ?

php2shell-checker est un outil open source publié par OpenAI le 21 octobre 2026, sous licence Apache 2.0, en même temps que la divulgation coordonnée de PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Il s’agit d’un court script Node.js doté de deux modes :

• Le mode URL envoie une requête HEAD à un site et cherche une version de PHP dans les en-têtes X-Powered-By et Server. Il ne se rabat sur GET que si HEAD est refusé, ne suit pas les redirections et ne lit pas le contenu de la page.
• Le mode local exécute php -v sur la machine et lit la version.

Il compare ensuite la version à une table intégrée des dernières versions vulnérables de chaque branche, de 5.4 à 8.5. Il n’envoie aucun trafic d’attaque : les instructions d’OpenAI demandent explicitement de ne pas lancer de sondes d’exploitation.

Comment lancer le checker d’OpenAI ?

Il vous faut Node.js et une copie du dépôt récupérée sur GitHub. Depuis le dossier du dépôt :

• Sur votre serveur, pour vérifier le PHP en ligne de commande : node phpcheck.js --local
• Sur votre propre site : node phpcheck.js "https://your-site.example"
• Pour une sortie exploitable par une machine, ajoutez --json.

N’utilisez le mode URL que sur des sites que vous possédez ou administrez. Le PHP en ligne de commande vérifié par --local peut différer de celui qui sert votre site : vérifiez donc aussi ce que le site lui-même indique, par exemple dans WordPress sous Outils → Santé du site → Infos → Serveur.

Que signifient OK, VULNERABLE et UNKNOWN ?

UNKNOWN ne signifie pas que votre site est à l’abri. La plupart des serveurs bien configurés masquent la version de PHP dans leurs en-têtes : le mode URL renvoie donc souvent UNKNOWN.

Où le checker d’OpenAI peut-il se tromper ?

Il ne compare que des numéros de version, et OpenAI le dit : un résultat OK ne vérifie pas de manière indépendante la présence d’un correctif de sécurité. Trois cas comptent en pratique :

• Les rétroportages des distributions : Ubuntu, Debian, Red Hat et d’autres corrigent des paquets PHP aux numéros plus anciens. Un paquet corrigé 8.3.6-0ubuntu0.24.04.13 apparaît quand même comme VULNERABLE. Voir mettre à jour PHP sur Ubuntu et Debian.
• Les numéros de version des panneaux et des fournisseurs : sur les anciennes branches, tout numéro supérieur au seuil apparaît comme OK, y compris des numéros que PHP n’a jamais publiés. 宝塔 (BaoTa) et aaPanel livrent des versions corrigées comme 7.4.34 et 8.1.35, mais 8.0.27 est à la fois une version de 宝塔 et une ancienne version officielle non corrigée.
• Les en-têtes : un proxy ou un CDN peut masquer ou réécrire X-Powered-By, et un même serveur peut héberger de nombreux sites sur des versions de PHP différentes.

Comment l’utiliser avec le vérificateur PHP2Shell ?

Collez directement la sortie de l’outil dans le champ de version du vérificateur PHP2Shell. Il accepte la sortie --json, une ligne comme OK: PHP 8.3.36, la sortie de php -v ou un en-tête X-Powered-By: PHP/8.3.36, et en extrait la version. Indiquez ensuite d’où vient votre PHP : paquet du système, 宝塔 / aaPanel ou autre panneau de contrôle. Le vérificateur peut ainsi tenir compte des rétroportages et des versions propres aux panneaux, qu’une simple comparaison de numéros ne voit pas. La vérification s’exécute dans votre navigateur et rien de ce que vous collez n’est envoyé ailleurs.

Les versions corrigées sont :

Si le résultat indique que vous êtes concerné, suivez le guide du correctif PHP2Shell adapté à votre configuration. Après la mise à jour, recherchez les signes d’une intrusion antérieure avec la liste de vérification de compromission.