PHP2Shell : deux failles critiques à corriger sur votre VPS
Bonjour à tous,
Votre VPS héberge un site ou une application web qui utilise PHP ? Mettez PHP à jour dès maintenant. Linux et Windows peuvent être concernés.
Deux failles critiques de PHP, regroupées sous le nom PHP2Shell, ont été rendues publiques le 21 octobre 2026. Référencées CVE-2026-109618 et CVE-2026-109619, elles peuvent permettre à un attaquant d’exécuter du code sur un serveur vulnérable sans disposer d’un compte utilisateur sur le site.
Ces failles touchent le logiciel PHP lui-même. Elles ne sont pas causées par BoxToPlay ni par un défaut propre à nos serveurs.
Qui doit faire la mise à jour ?
Si vous gérez PHP sur votre VPS, vérifiez la version utilisée par vos sites, même s’ils fonctionnent normalement. PHP peut avoir été installé directement, avec un panneau d’administration ou dans un conteneur.
Sur l’hébergement web offert et géré par BoxToPlay, les paquets PHP ont déjà été mis à jour. Vous n’avez pas à effectuer cette mise à jour de PHP vous-même.
Comment mettre PHP à jour ?
Avant d’intervenir, vérifiez que vous avez une sauvegarde récente de vos données.
Sur Debian ou Ubuntu, si PHP est installé depuis les dépôts du système, lancez ces commandes en SSH avec le compte root :
apt update && apt upgrade
Cette commande met à jour l’ensemble des paquets pour lesquels une mise à jour est disponible. Lisez les changements proposés avant de confirmer, puis vérifiez que votre dépôt fournit bien un correctif pour PHP.
Sur Windows, pour une installation manuelle, utilisez les téléchargements officiels PHP pour Windows adaptés à votre configuration.
Si un panneau d’administration ou un logiciel gère votre installation PHP, suivez sa procédure de mise à jour, sur Linux comme sur Windows.
Si PHP tourne dans un conteneur Docker, utilisez une image qui contient le correctif, puis recréez le conteneur en conservant ses données. Mettre à jour le système du VPS ne met pas à jour PHP à l’intérieur du conteneur.
Redémarrez les services qui exécutent PHP, comme PHP-FPM ou votre serveur web, pour qu’ils chargent la version corrigée. Prévoyez une brève interruption, puis vérifiez que vos sites et applications répondent correctement.
Comment vérifier que PHP est corrigé ?
Le projet PHP a publié les correctifs dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Utilisez l’une de ces versions ou une version plus récente de la même branche.
Les distributions Linux peuvent aussi appliquer le correctif à une version plus ancienne sans changer son numéro principal. Sur Ubuntu 24.04, par exemple, le paquet 8.3.6-0ubuntu0.24.04.13 contient les deux correctifs. Comparez la révision complète du paquet à l’avis de sécurité de votre distribution.
Attention, php -v affiche la version utilisée en ligne de commande, qui peut différer de celle de vos sites. Vérifiez aussi quelle version est active dans votre panneau ou dans la configuration du serveur web.
Si vous utilisez encore PHP 8.1 ou une version antérieure, vérifiez qu’un correctif est proposé par le fournisseur de vos paquets. Sans correctif disponible, passez à une version maintenue compatible avec vos applications.
Les détails sont disponibles dans l’avis officiel PHP, la présentation de PHP2Shell par Ubuntu et l’avis de sécurité Ubuntu.
Un doute sur la version utilisée ou une difficulté après la mise à jour ? Contactez le support BoxToPlay depuis votre espace client.
L’équipe BoxToPlay