Produits et piles · Plateformes d’hébergement et gestionnaires de serveurs

PHP2Shell dans Amazon Linux and AWS : est-il touché et comment corriger

Verdict rapide

Affecté ; un correctif n’existe que pour certaines versions ou certains composants.

État éditeur: Partiellement corrigé
PHP: AL2023 php8.2–8.5 · AL2 php
Dernière vérification: 2026-10-22

Bulletin AWS 2026-143-AWS (dernière mise à jour le 21 octobre, 20:30 PDT) : les services AWS ne sont pas touchés, mais le PHP affecté que vous y faites tourner peut l’être. Amazon Linux : des paquets PHP mis à jour sont disponibles pour les régions commerciales, les régions non commerciales sont prévues pour le 22 octobre ; le PHP de base d’Amazon Linux 2 et php8.1 d’Amazon Linux 2023 sont marqués No Fix Planned. Elastic Beanstalk : la plateforme PHP v4.13.12 (21 octobre) traite les deux CVE, et une version avec le correctif amont de PHP est prévue pour le 22 octobre ; sans Managed Platform Updates, mettez à jour la version de plateforme vous-même. Lightsail ne peut pas être corrigé sur place : créez de nouvelles instances à partir des blueprints mis à jour et migrez. Utilisateurs d’AWS WAF : la version 2.3 du groupe de règles géré PHP est désormais la valeur par défaut.

Vérifier la version de PHP utilisée par Amazon Linux and AWS

Lancez la commande adaptée à votre installation. Une version égale ou supérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 dans sa branche est corrigée ; les branches plus anciennes ne le sont que par un build éditeur qui l’indique.

dnf updateinfo list --security | grep php
rpm -qa 'php*'

Le php en ligne de commande peut différer du PHP qui sert le site. Pour en être sûr, vérifiez la SAPI web (une page phpinfo() temporaire protégée par authentification, ou les réglages PHP du panneau) puis supprimez-la. Notre vérificateur de version compare le numéro pour vous.

🔎 Vous avez un numéro de version ? Collez-le dans le vérificateur PHP2Shell →

Corriger PHP2Shell dans Amazon Linux and AWS

Debian/Ubuntu : sudo apt-get update && sudo apt-get install --only-upgrade 'php8.3*' (pour chaque version de PHP installée).
RHEL/Alma/Rocky/Amazon Linux : sudo dnf upgrade 'php*'.
Redémarrez PHP : sudo systemctl restart php8.3-fpm (ou php-fpm), et redémarrez complètement Apache s’il utilise mod_php ; un rechargement « graceful » ne suffit pas.
Les distributions rétroportent souvent le correctif sans changer la version de PHP : comparez la version du paquet ou le changelog avec l’avis.

Vous préférez laisser un agent IA vérifier ? Vérifier si vous êtes touché · Corriger avec un agent IA

Si vous ne pouvez pas encore corriger

Réglez session.upload_progress.enabled = 0 là où les applications ne peuvent pas le modifier (php.ini, php_admin_value dans le pool FPM ou la config Apache), puis redémarrez PHP.
Sous PHP 8.5, réglez fatal_error_backtraces = 0.
Les mesures provisoires de PHP portent aussi sur memory_limit et un post_max_size bas ; suivez précisément la page de correctif, car ces réglages ne couvrent que certains chemins.
Restreignez l’accès (VPN, liste d’IP) ou mettez le service hors ligne s’il tourne en PHP 8.1 ou antérieur sans rétroportage de l’éditeur. Les règles WAF aident mais ne corrigent pas.

FAQ

Amazon Linux and AWS est-il touché par PHP2Shell ?

Affecté ; un correctif n’existe que pour certaines versions ou certains composants. Bulletin AWS 2026-143-AWS (dernière mise à jour le 21 octobre, 20:30 PDT) : les services AWS ne sont pas touchés, mais le PHP affecté que vous y faites tourner peut l’être. Amazon Linux : des paquets PHP mis à jour sont disponibles pour les régions commerciales, les régions non commerciales sont prévues pour le 22 octobre ; le PHP de base d’Amazon Linux 2 et php8.1 d’Amazon Linux 2023 sont marqués No Fix Planned. Elastic Beanstalk : la plateforme PHP v4.13.12 (21 octobre) traite les deux CVE, et une version avec le correctif amont de PHP est prévue pour le 22 octobre ; sans Managed Platform Updates, mettez à jour la version de plateforme vous-même. Lightsail ne peut pas être corrigé sur place : créez de nouvelles instances à partir des blueprints mis à jour et migrez. Utilisateurs d’AWS WAF : la version 2.3 du groupe de règles géré PHP est désormais la valeur par défaut.

Mettre à jour Amazon Linux and AWS suffit-il à corriger CVE-2026-109618 et CVE-2026-109619 ?

Seulement si la mise à jour contient un PHP corrigé. PHP2Shell est une faille de l’interpréteur PHP : ce qui compte, c’est le PHP sur lequel tourne Amazon Linux and AWS. Vérifiez la version après la mise à jour.

Quelles versions de PHP corrigent PHP2Shell ?

PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, publiées le 21 octobre 2026. PHP 8.1 et antérieur n’ont pas de version du projet PHP ; seuls des builds éditeur avec rétroportage (ou un correctif source compilé soi-même pour 7.4, 8.0 et 8.1) les corrigent.

Et si Amazon Linux and AWS n’a pas encore de correctif ?

Gardez son interface web basée sur PHP hors d’Internet (VPN ou liste d’IP), appliquez les réglages provisoires de PHP comme la désactivation du session upload progress, et installez la mise à jour de l’éditeur dès sa sortie. Les réglages provisoires réduisent le risque mais ne corrigent pas.

← Tous les produits qui embarquent PHP

Voir aussi : Correctif par plateforme · Versions affectées · État des éditeurs

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

Synthèse non officielle de sources publiques. Ce site n’est affilié ni à l’éditeur ni au projet PHP et n’héberge aucun code d’exploitation.