Bonjour, si vous êtes passé à côté de la nouvelle du 21 octobre 2026, sachez que deux failles de sécurités importantes ont été trouvé dans PHP, ceci affecte l’ensemble des versions de PHP (5, 7 et 8). La Fondation PHP à mis à jour la version 8.2 et subséquent (8.3, 8.4,…), mais pas les autres (5.x,7.x, 8.0, 8.1).
Si votre projet est en LOCAL/INTRANET et n’a aucun accès depuis Internet, pas de panique, vous pouvez garder le projet dans l’état, mais penser quand même à le migrer
Première chose à faire est de savoir qu’elle version de PHP vous utilisez dans vos projets, si la version PHP est concerné et inférieur à 8.2 (exclusivement); désactiver le immédiatement. Si vous avez une version PHP 8.2 et supérieur, vous n’avez qu’à faire une mise à jour (APT), en théorie, les dépôts de paquets (repositories) ont été mis à jour avec le correctif.
Second temps, si vous avez désactivé votre site du à une version ancienen de PHP, penser à migrer sur au minimum la 8.2, c’est la seul solution. Car la Fondation PHP ne va pas fournir de correctif pour les anciennes versions (EOL).
Le PHP2Shell permet d’injecter du code dans via PHP pour obtenir des accès non autorisés, il ne se limite pas aux formulaires et peut être utilisé dans un appel de page en PHP. Il n’y a aucune solution pour corriger ces bugs, autre que par un correctif du noyau PHP (MaJ du package), certains paramètres peuvent réduire l’impact (comme mettre à 0 la taille du POST), mais aucune ne vous assure une quiétude d’esprit. Utiliser PHP en mod_php est le pire cas de figure semble t-il, et utiliser dans un « enclos » comme FPM ne change rien aux risques.
Alors, considéré tous les projets conçus pour PHP 5.x, 7.x, 8.0 et 8.1 comme ouvert à des attaques de ce type. Il n’y a actuellement aucun cas référencé et confirmé qui a été victime de ces bugs, mais n’attendez pas. L’AI connait les failles, quelqu’un peut donc lui demander comment l’utiliser.
Perso, j’ai pas mal de boulot pour remettre des services en place, comme mon Wiki qui était sur une très vieille version de MediaWiki. D’autres scripts fait maison ont eu juste quelques ajustements à faire pour passer en version PHP 8.2. Mais n’attendez pas que votre serveur/RPi soit piraté, il pourrait « sallir » votre nom…