Le 21 octobre 2026, deux vulnérabilités critiques dans PHP ont été rendues publiques : CVE-2026-109618 et CVE-2026-109619.
Regroupées sous le nom PHP2Shell, ces failles concernent directement le moteur PHP et peuvent permettre l’exécution de code à distance sans authentification. Toutes les branches de PHP sont potentiellement concernées, y compris lorsqu’une application web (WordPress, Drupal, etc.) est parfaitement à jour.
Quelles actions avons-nous réalisées chez Evolix ?
Pour les serveurs infogérés par Evolix, nous avons pris deux mesures :
- Désactivation de l’option
session.upload_progress.enableddans la configuration de PHP-FPM ou du module PHP d’Apache. Cette mesure réduit les possibilités d’exploitation des vulnérabilités. - Mise à jour des paquets PHP pour appliquer les correctifs de sécurité sur les versions supportée par Evolix, allant de PHP 7.0 à PHP 8.4.
Comment vérifier si session.upload_progress.enabled est bien désactivé ?
Vous pouvez créer temporairement un fichier PHP avec un nom aléatoire accessible via web contenant :
<?php phpinfo(); ?>En consultant cette page, vérifiez que l‘option session.upload_progress.enabled est à Off.
Attention, il ne faut pas utiliser la ligne de commande (PHP CLI) car cette option n’est pas désactivée.
Comment vérifier si votre PHP est bien corrigé ?
Si vous avez du PHP 8.4, vous devez avoir les paquets PHP en version 8.4.27-1~deb13u1 ou 8.4.27-1+020261021.57+debian12~1.gbp7636b9
Si vous avez du PHP 8.3, vous devez avoir les paquets PHP en version 8.3.36-1+020261021.88+debian12~1.gbp250f7c
Si vous avez du PHP 8.2, vous devez avoir les paquets PHP en version 8.2.35-1~deb12u1 ou 8.2.35-1+0~20261021.94+debian12~1.gbp8bff78
Si vous avez du PHP 8.1, vous devez avoir les paquets PHP en version 8.1.34-9+0~20261021.82+debian12~1.gbp4e430a
Si vous avez du PHP 8.0, vous devez avoir les paquets PHP en version 1:8.0.30-25+0~20261021.88+debian12~1.gbpabebea
Si vous avez du PHP 7.4, vous devez avoir les paquets PHP en version 7.4.33-1+deb11u14 ou 1:7.4.33-31+0~20261021.121+debian12~1.gbpe9c428
Si vous avez du PHP 7.3, vous devez avoir les paquets PHP en version 7.3.31-1~deb10u16 ou 7.3.33-35+0~20261021.144+debian12~1.gbpecf76f
Si vous avez du PHP 7.2, vous devez avoir les paquets PHP en version 7.2.34-66+0~20261021.122+debian12~1.gbpe0bcd4
Si vous avez du PHP 7.1, vous devez avoir les paquets PHP en version 7.1.33-80+0~20261021.127+debian12~1.gbp7a3318
Si vous avez du PHP 7.0, vous devez avoir les paquets PHP en version 7.0.33-92+0~20261021.118+debian12~1.gbpdbe680
Vérifier la version des paquets PHP n’est pas forcément trivial, vous pouvez aussi tout simplement lire le résultat de phpinfo(); et vérifier que Build Date est le 21 octobre 2026.
Est-ce que j’utilise une version PHP supportée ?
Chez Evolix, nous assurons actuellement le support des versions PHP 8.4, 8.2, 7.4 et 7.3 grâce à l’équipe de sécurité Debian et Freexian pour Debian LTS/ELTS.
Quelques précisions importantes :
- PHP inférieur à 7.3 : ces versions ne sont plus supportées chez Evolix. Une migration est nécessaire.
- PHP 7.3 : nous maintenons son support jusqu’en décembre 2026 grâce à Debian ELTS. Il faut donc anticiper dès maintenant une migration.
- PHP 7.1, 7.2, 8.0, 8.1 ou 8.3 : ces versions peuvent être installées sur certains de nos serveurs, mais ne font pas partie des versions que nous supportons actuellement. Leur installation a pu être réalisée avec un engagement de maintenance de courte durée. Nous recommandons de migrer vers une version supportée.
Pour plus d’informations sur la gestion des versions PHP, consultez notre documentation Evolix.
Si vous êtes client Evolix et avez des questions à ce sujet, ouvrez-nous un ticket.
