PHP en fin de vie : ce que PHP2Shell change pour PHP 7.4, 8.0 et 8.1

Existe-t-il un correctif PHP2Shell pour un PHP en fin de vie ?

Pas sous forme de nouvelle version. L’avis de PHP explique que PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP ; certaines distributions et certains prestataires de support à long terme (LTS) fournissent des correctifs rétroportés, et PHP invite à contacter son fournisseur ou à passer à une version maintenue.

L’avis ajoute que, compte tenu de la gravité de ces vulnérabilités, l’équipe de sécurité de PHP a fourni des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1, destinés à ceux qui compilent PHP eux-mêmes ou n’ont pas accès à un prestataire LTS.

Il existe donc trois choses distinctes, à ne pas confondre :

Quelles versions de PHP sont en fin de vie ?

Les branches maintenues qui reçoivent le correctif PHP2Shell sont 8.2, 8.3, 8.4 et 8.5 :

PHP 8.1, 8.0, 7.4 et toutes les versions plus anciennes sont en fin de vie (on parle aussi de fin de support). L’annonce de PHP rappelle également que PHP 8.2 arrive en fin de vie le 31 décembre 2026 : migrer vers 8.2 ne vous fera donc pas gagner beaucoup de temps. La recherche initiale indique qu’au moins une des failles PHP2Shell remonte jusqu’à PHP 5.4.

Je suis en PHP 7.4 : que dois-je faire ?

1. Identifiez d’où vient votre PHP. S’il est fourni par votre hébergeur ou votre distribution Linux, interrogez-les ou consultez leur bulletin de sécurité pour savoir s’il existe un paquet rétroporté.
2. Si vous compilez PHP vous-même, appliquez le correctif source officiel de votre branche, recompilez, déployez et redémarrez tous les processus PHP. Gardez une trace du correctif et de la compilation.
3. Planifiez le passage à une branche maintenue (8.3 ou plus récente). C’est la seule voie qui continue de recevoir des correctifs de sécurité.

Et si je suis en PHP 7.3 ou plus ancien ?

Il n’existe aucun correctif PHP2Shell officiel pour PHP 7.3 ou antérieur : les correctifs sources de PHP ne couvrent que 7.4, 8.0 et 8.1. Sauf si votre fournisseur livre un paquet corrigé pour votre version, la seule correction possible est de passer à une branche maintenue. Si vous ne pouvez pas le faire rapidement, envisagez de mettre le site hors ligne ou d’en restreindre l’accès, comme le conseillent plusieurs agences nationales pour les systèmes impossibles à mettre à jour. En France, le CERT-FR (ANSSI) recommande d’isoler les systèmes concernés et de passer à une version maintenue.

Un numéro comme 7.4.33 prouve-t-il que je suis vulnérable ?

Pas à lui seul. Un paquet rétroporté par un fournisseur, ou votre propre version recompilée avec le correctif, conserve le numéro 7.4 tout en contenant la correction. Si vous indiquez que PHP provient d’un paquet du système ou d’une compilation depuis les sources, le vérificateur de version PHP vous invite à vérifier le correctif de votre fournisseur au lieu de conclure que le site est concerné. Une version 7.4 officielle non corrigée est bien concernée.

Passer de PHP 7.4 à 8.3 va-t-il casser mon site ?

C’est possible. Les changements de version majeure suppriment d’anciennes fonctions et modifient certains comportements, ce qui touche les vieilles extensions, les thèmes et le code sur mesure. Faites une sauvegarde complète, testez sur une copie de préproduction, mettez d’abord à jour votre application et ses extensions, puis vérifiez après le changement la connexion, les formulaires, les paiements et les tâches planifiées. Pour WordPress, consultez le guide sur la version PHP de WordPress.

Puis-je télécharger ici un installateur du correctif PHP2Shell ?

Non. Utilisez les téléchargements de sources officiels et les branches de rétroportage indiqués dans l’annonce de PHP. La façon de les appliquer dépend de votre compilation, de vos extensions et de votre déploiement : il n’existe pas d’installateur universel. Si vous préférez ne pas compiler PHP vous-même, utilisez le paquet d’un fournisseur ou passez à une version maintenue.

Comment prouver qu’un PHP compilé sur mesure est corrigé ?

Notez la révision des sources, la branche de rétroportage appliquée, la date de compilation et l’endroit où elle a été déployée. Vérifiez ensuite que le site utilise bien la nouvelle version après le redémarrage des processus PHP : en ligne de commande, php -v peut encore pointer vers un autre binaire. Consultez le guide pour vérifier la version de PHP et revenez au vérificateur PHP2Shell pour la vue d’ensemble.

Sur quelles sources s’appuie cette page ?

• The PHP Group : avis de sécurité
• The PHP Group : versions maintenues
• The PHP Group : téléchargements
• Manuel PHP : installation sur les systèmes Unix
• Wiz Research : recherche initiale
• Canonical : bulletin de sécurité Ubuntu