Que demande le vérificateur de version PHP ?
Cinq informations, et « Je ne sais pas » est toujours une réponse possible :
| Champ | Ce qu’il faut saisir | Où le trouver |
|---|---|---|
| Version de PHP | La version complète, par exemple 8.3 suivi de son numéro de correctif | Santé du site dans WordPress ou le panneau de contrôle de votre hébergeur |
| Mode d’exécution de PHP | PHP-FPM, Apache mod_php, CGI/LiteSpeed/FrankenPHP, ou ligne de commande uniquement | La ligne « SAPI » de PHP dans Santé du site, ou votre hébergeur |
| Installé depuis | Version php.net ou image Docker officielle, paquet du système (Ubuntu, Debian), panneau de contrôle d’hébergement, ou compilation depuis les sources | Votre hébergeur ou l’administrateur du serveur |
| Distribution et version du paquet | Pour les paquets Ubuntu ou Debian uniquement : la version de la distribution et la version complète du paquet | Le gestionnaire de paquets du serveur |
| Mesure temporaire | Si une mesure temporaire comme session.upload_progress.enabled=0 est en place | Votre hébergeur ou l’administrateur du serveur |
Quels résultats le vérificateur de version PHP peut-il donner ?
L’un de quatre verdicts, fondé uniquement sur ce que vous saisissez :
| Résultat | Signification |
|---|---|
| Dans la plage affectée | Ce PHP est antérieur à la première version corrigée de sa branche. Mettez-le à jour. |
| Correspond à une version corrigée | La version ou le paquet est au niveau du correctif ou au-delà. Redémarrez PHP et vérifiez chaque site. |
| Vérifiez le correctif de votre fournisseur | Le PHP provient d’une distribution ou d’une compilation personnalisée où le correctif a pu être rétroporté, et les informations saisies ne suffisent pas à le confirmer. |
| Impossible de conclure pour l’instant | Le format de version, la branche ou la configuration ne suffisent pas pour trancher. |
Une mesure temporaire apparaît dans une note séparée et ne transforme jamais un résultat en « corrigé ». Aucun résultat n’indique si un site a été piraté par le passé.
Où trouver la version de PHP à saisir ?
Dans WordPress, ouvrez Outils → Santé du site → Infos → Serveur et relevez la version de PHP et la SAPI de PHP. Dans un panneau de contrôle d’hébergement, ouvrez les réglages PHP de votre domaine. Sur un serveur ou dans un conteneur, php -v affiche le PHP en ligne de commande de cette machine ou de ce conteneur précis, qui peut différer du PHP qui sert votre site. Le guide vérifier sa version PHP détaille chaque méthode.
Pourquoi le vérificateur demande-t-il le mode d’exécution de PHP ?
Parce que PHP2Shell concerne le PHP qui traite des requêtes web. L’avis de PHP cite PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed, et juge mod_php le plus à risque. Une version relevée avec php -v n’est pas forcément celle qu’utilise votre site : si vous choisissez « Ligne de commande uniquement », le vérificateur précise que le résultat ne vaut pas confirmation pour le site.
Pourquoi demande-t-il la distribution et la version du paquet ?
Ubuntu, Debian et d’autres distributions corrigent PHP dans leurs propres paquets en conservant l’ancien numéro amont. Un paquet Ubuntu ou Debian corrigé peut sembler antérieur à 8.3.36 ou 8.4.27 tout en contenant le correctif. Avec la version de la distribution et la version complète du paquet, le vérificateur les compare aux données des éditeurs ci-dessous. Seules les lignes marquées « Corrigé » ont une version de paquet corrigé confirmée ; pour les autres, le résultat est « Vérifiez le correctif de votre fournisseur ».
| Éditeur | Version | Paquet | Version du paquet corrigé | Statut |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corrigé |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corrigé |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corrigé |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corrigé |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corrigé |
| Docker Official Images | — | php | — | Non vérifié |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corrigé |
| XServer | — | PHP | — | Non vérifié |
| ConoHa WING | — | PHP | — | Non vérifié |
| ロリポップ！ | — | PHP | — | Non vérifié |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corrigé |
Vérifié entre le 21 octobre 2026 et le 22 octobre 2026.
Si votre version de distribution ou votre paquet n’apparaît pas dans la liste, le résultat est « Vérifiez le correctif de votre fournisseur », et non « Dans la plage affectée ».
Le vérificateur peut-il vérifier mon site à partir de son URL ?
Oui, avec des limites. Saisissez l’adresse dans le champ URL : notre serveur envoie au site une requête HEAD, la même qu’un navigateur, puis lit les en-têtes Server et X-Powered-By comme le fait le php2shell-checker d’OpenAI. Si une version de PHP y figure, le vérificateur la reprend et rend son verdict habituel, que vous pouvez affiner en indiquant la provenance de PHP. Beaucoup de sites masquent cet en-tête, et un en-tête peut être faux ou ignorer un rétroportage de l’éditeur : « non indiqué » ne veut jamais dire corrigé. Ne vérifiez que des sites que vous gérez ou que vous êtes autorisé à tester. Les vérifications sont limitées aux sites publics sur les ports 80 et 443, et à 10 par minute. Vous pouvez aussi coller dans le champ de version la sortie de l’outil d’OpenAI, une ligne php -v ou un en-tête X-Powered-By.
Ce que je saisis est-il envoyé ou conservé ?
Pas les informations de version. Le verdict est calculé dans votre navigateur, et rien de ce que vous tapez n’est ajouté à l’adresse de la page : un lien partagé ne contient donc jamais vos informations. Seule la vérification par URL, facultative, envoie l’adresse saisie à notre serveur, qui la garde au plus 5 minutes en cache. Voir la page confidentialité.
Un seul résultat couvre-t-il tout mon site ?
Il couvre l’instance de PHP que vous avez vérifiée. Les sites qui ont plusieurs domaines, pools de processus, conteneurs ou serveurs peuvent utiliser des versions de PHP différentes. Vérifiez chacun, et vérifiez de nouveau après avoir mis à jour et redémarré PHP.
Que faire du résultat ?
- Dans la plage affectée : suivez le guide du correctif PHP2Shell.
- Vérifiez le correctif de votre fournisseur : comparez votre paquet au bulletin de votre distribution, voir mettre à jour PHP sous Ubuntu.
- PHP 7.4, 8.0 ou 8.1 : lisez fin de vie de PHP et PHP2Shell.
- Crainte d’une intrusion passée : suivez le guide vérifier si votre site a été piraté.
Retour à la présentation du vérificateur PHP2Shell.
Quelles sources le vérificateur utilise-t-il ?
Les versions corrigées viennent des avis de PHP ; les versions des paquets viennent des bulletins de sécurité d’Ubuntu et de Debian. Les faits ont été vérifiés le 22 octobre 2026.
- The PHP Group : avis de sécurité
- Avis GitHub : RCE via OOM corruption
- Avis GitHub : RCE via stale global state
- Manuel PHP : php_sapi_name
- WordPress.org : écran Santé du site (Site Health)
- Canonical : bulletin de sécurité Ubuntu
- Debian : annonce de sécurité
Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- RCE via OOM corruptionOfficiel The PHP Group
- RCE via stale global stateOfficiel The PHP Group
- php_sapi_nameOfficiel The PHP Group
- Site Health screenOfficiel WordPress.org
- USN-8948-1: PHP vulnerabilitiesÉditeur Canonical
- DSA-6574-1 php8.4 security updateÉditeur Debian Security Team