PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles RCE critiques sans authentification, CVE-2026-109618 et CVE-2026-109619, connues sous le nom de « php2shell ». La mise à jour est la partie facile. Le plus difficile est d’être sûr que chaque PHP de la machine est corrigé : rétroportages de distribution qui conservent d’anciens numéros de version, PHP de panneaux d’hébergement, pools FPM, mod_php qu’un reload n’a pas redémarré, images Docker et binaires Octane. Ce kit y répond en une seule exécution, puis vous guide pour le reste.

CONTENU

- php2shell-audit.sh (Linux, lecture seule) :

- Trouve PHP provenant d’apt/dnf/apk, ondrej/sury, Remi, cPanel ea-php, CloudLinux alt-php, Plesk, DirectAdmin, aaPanel, LiteSpeed lsphp et Homebrew, ainsi que chaque processus en cours.

- Classe chaque build comme FIXED, PATCHED (rétroportage éditeur, vérifié dans le changelog du paquet ou dans les tables de versions corrigées d’Ubuntu/Debian), VULNERABLE, EOL ou CHECK-VENDOR.

- Signale mod_php, upload_progress / fatal_error_backtraces encore activés, surcharges PHP_VALUE et php_value par requête, mauvais usage de RLIMIT, processus exécutant encore l’ancien PHP supprimé après la mise à jour, shells lancés par des workers PHP et conteneurs Docker PHP.

- Codes de sortie 0/1/2 pour cron et la supervision.

- php2shell-audit.ps1 (Windows/IIS, lecture seule) : vérifie PATH, les dossiers XAMPP/WAMP/Laragon/Plesk, les applications FastCGI d’IIS depuis applicationHost.config, Apache mod_php, les réglages et les processus enfants suspects.

- Guides de mise à jour, chacun issu de la page de l’éditeur lui-même, avec liens :

- Ubuntu/Debian (dont PPA et sury), RHEL/AlmaLinux (table des paquets corrigés), Rocky, Remi, Amazon Linux 2023 / Beanstalk / Lightsail, Alpine, Docker

- cPanel EA4, CloudLinux ea-php/alt-php, Plesk (dont l’astuce de la date de build pour les builds EOL), DirectAdmin, aaPanel, CloudPanel

- LiteSpeed, FrankenPHP/Octane, Windows/IIS

- Ainsi qu’une table des redémarrages (pourquoi apache graceful ne suffit pas).

- Mesures d’atténuation provisoires, citées de php.net/GHSA et marquées PARTIAL :

- fichiers drop-in pour php.ini, pool FPM, Apache, nginx (blocage, liste d’autorisation, lecture seule), Caddy/FrankenPHP et lighttpd

- la règle AWS WAF (JSON mot pour mot) et des notes Cloudflare

- une règle ModSecurity (dérivée et testée en laboratoire) et une règle IIS (dérivée, non testée)

- une liste des mesures qui n’ont PAS aidé

- Une liste de vérification post-correctif, des pistes de détection (grep de logs, audit des processus) et les premières étapes en cas d’incident

- Un plan de migration pour PHP 8.1 et antérieur (et 8.2, EOL le 31 déc. 2026), y compris mod_php → PHP-FPM

- Une table de retour arrière, une liste de sources et de courts guides de démarrage rapide en ES/PT/ID/JA

TESTÉ

- Sous Debian 13 : l’audit a détecté la 8.4.24 vulnérable, la 8.4.27 corrigée et des processus obsolètes avant le redémarrage.

- 41 tests unitaires, shellcheck sans erreur.

- Les extraits nginx, Apache, ModSecurity et FPM ont été testés en laboratoire avec des requêtes inoffensives (résultats dans tests/LAB-RESULTS.md).

REMARQUES

- Pas de code d’exploit, pas de PoC, pas de scanner réseau. Les scripts ne lisent que la machine sur laquelle ils s’exécutent. Utilisez-les uniquement sur des systèmes que vous possédez ou administrez.

- État au 21 oct. 2026. L’état des paquets des éditeurs évolue vite et les points incertains sont marqués [UNCERTAIN].

- Les mesures provisoires sont partielles. Seuls un build PHP corrigé et un redémarrage constituent un correctif complet.

- Un kit indépendant, sans affiliation avec le projet PHP, The PHP Foundation, la CISA ni aucun éditeur cité. À titre informatif, fourni tel quel, à utiliser à vos risques.