Produits et piles · Plateformes d’hébergement et gestionnaires de serveurs

PHP2Shell dans Azure App Service (PHP) : est-il touché et comment corriger

Verdict rapide

Affecté ; un correctif n’existe que pour certaines versions ou certains composants.

État éditeur: Partiellement corrigé
PHP: Linux built-in 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
Dernière vérification: 2026-10-22

Selon l’équipe App Service, les images PHP intégrées corrigées d’App Service sous Linux ont fini d’être déployées le 21 octobre 2026 sur les canaux de publication Latest et Standard : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le canal Extended reçoit le correctif en dernier. Azure ne corrige pas les conteneurs personnalisés ni les runtimes PHP apportés par le client, les versions PHP en fin de vie ne reçoivent rien, et les images WordPress on App Service encore basées sur Alpine restent non corrigées (Microsoft renvoie vers son guide de migration vers Debian). L’article ne couvre que Linux, pas PHP sous Windows.

Vérifier la version de PHP utilisée par Azure App Service (PHP)

Lancez la commande adaptée à votre installation. Une version égale ou supérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 dans sa branche est corrigée ; les branches plus anciennes ne le sont que par un build éditeur qui l’indique.

php --version
echo $PHP_VERSION

À exécuter dans la console SSH de l’application (Kudu WebSSH : https://<nom-app>.scm.azurewebsites.net/webssh/host). Dans le portail, Stack settings indique la version majeure de PHP et le canal de publication.

Le php en ligne de commande peut différer du PHP qui sert le site. Pour en être sûr, vérifiez la SAPI web (une page phpinfo() temporaire protégée par authentification, ou les réglages PHP du panneau) puis supprimez-la. Notre vérificateur de version compare le numéro pour vous.

🔎 Vous avez un numéro de version ? Collez-le dans le vérificateur PHP2Shell →

Corriger PHP2Shell dans Azure App Service (PHP)

Si l’application est sur le canal Extended, passez-la sur Standard ou Latest (portail → application → Stack settings → Platform Release Channel → Enregistrer). Microsoft conseille Latest pour les applications exposées ou à risque.
Vérifiez en SSH que la version active est 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ou plus ; sinon redémarrez l’application.
Conteneur personnalisé ou PHP fourni par vous : reconstruisez l’image sur une version PHP corrigée et redéployez. Azure ne le fait pas.
PHP 8.1 ou antérieur : changer de canal ne suffit pas. Migrez vers une version PHP prise en charge et testez.
WordPress on App Service sur image Alpine : migrez vers l’image Debian.
Installez la version ou les paquets corrigés de l’éditeur indiqués ci-dessus.
Redémarrez tous les processus PHP (pools PHP-FPM, Apache avec mod_php, lsphp de LiteSpeed, workers de files) : un processus en cours garde l’ancien PHP en mémoire.
Confirmez la version en cours avec les commandes de vérification.

Vous préférez laisser un agent IA vérifier ? Vérifier si vous êtes touché · Corriger avec un agent IA

Si vous ne pouvez pas encore corriger

Réglez session.upload_progress.enabled = 0 là où les applications ne peuvent pas le modifier (php.ini, php_admin_value dans le pool FPM ou la config Apache), puis redémarrez PHP.
Sous PHP 8.5, réglez fatal_error_backtraces = 0.
Les mesures provisoires de PHP portent aussi sur memory_limit et un post_max_size bas ; suivez précisément la page de correctif, car ces réglages ne couvrent que certains chemins.
Restreignez l’accès (VPN, liste d’IP) ou mettez le service hors ligne s’il tourne en PHP 8.1 ou antérieur sans rétroportage de l’éditeur. Les règles WAF aident mais ne corrigent pas.

FAQ

Azure App Service (PHP) est-il touché par PHP2Shell ?

Affecté ; un correctif n’existe que pour certaines versions ou certains composants. Selon l’équipe App Service, les images PHP intégrées corrigées d’App Service sous Linux ont fini d’être déployées le 21 octobre 2026 sur les canaux de publication Latest et Standard : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le canal Extended reçoit le correctif en dernier. Azure ne corrige pas les conteneurs personnalisés ni les runtimes PHP apportés par le client, les versions PHP en fin de vie ne reçoivent rien, et les images WordPress on App Service encore basées sur Alpine restent non corrigées (Microsoft renvoie vers son guide de migration vers Debian). L’article ne couvre que Linux, pas PHP sous Windows.

Mettre à jour Azure App Service (PHP) suffit-il à corriger CVE-2026-109618 et CVE-2026-109619 ?

Seulement si la mise à jour contient un PHP corrigé. PHP2Shell est une faille de l’interpréteur PHP : ce qui compte, c’est le PHP sur lequel tourne Azure App Service (PHP). Vérifiez la version après la mise à jour.

Quelles versions de PHP corrigent PHP2Shell ?

PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, publiées le 21 octobre 2026. PHP 8.1 et antérieur n’ont pas de version du projet PHP ; seuls des builds éditeur avec rétroportage (ou un correctif source compilé soi-même pour 7.4, 8.0 et 8.1) les corrigent.

Et si Azure App Service (PHP) n’a pas encore de correctif ?

Gardez son interface web basée sur PHP hors d’Internet (VPN ou liste d’IP), appliquez les réglages provisoires de PHP comme la désactivation du session upload progress, et installez la mise à jour de l’éditeur dès sa sortie. Les réglages provisoires réduisent le risque mais ne corrigent pas.

← Tous les produits qui embarquent PHP

Voir aussi : Correctif par plateforme · Versions affectées · État des éditeurs

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

Synthèse non officielle de sources publiques. Ce site n’est affilié ni à l’éditeur ni au projet PHP et n’héberge aucun code d’exploitation.