Produits et piles · Pare-feu, appliances et outils IT

PHP2Shell dans PAN-OS : est-il touché et comment corriger

Verdict rapide

Affecté, et l’éditeur n’a pas encore publié de correctif.

État éditeur: Affecté, pas encore de correctif
PHP: bundled
Dernière vérification: 2026-10-22

L’avis de Palo Alto liste PAN-OS 12.2, 12.1, 11.2, 11.1 et 10.2 (toutes versions) ainsi que Panorama comme affectés, avec des versions corrigées « ETA: TBD ». Prisma Access, Cloud NGFW, GlobalProtect App, les produits Cortex et Prisma Cloud sont indiqués comme non affectés. Les clients Threat Prevention doivent activer les Threat IDs 543004 et 97622–97625 (contenu 9162 ou ultérieur), qui ne protègent l’interface d’administration que si son trafic entrant passe par un port du plan de données et est déchiffré. Palo Alto dit n’avoir connaissance d’aucune exploitation malveillante de ses produits ; le bulletin Unit 42 indique avoir vu des preuves de concept.

Vérifier la version de PHP utilisée par PAN-OS

Lancez la commande adaptée à votre installation. Une version égale ou supérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 dans sa branche est corrigée ; les branches plus anciennes ne le sont que par un build éditeur qui l’indique.

show system info

Le php en ligne de commande peut différer du PHP qui sert le site. Pour en être sûr, vérifiez la SAPI web (une page phpinfo() temporaire protégée par authentification, ou les réglages PHP du panneau) puis supprimez-la. Notre vérificateur de version compare le numéro pour vous.

🔎 Vous avez un numéro de version ? Collez-le dans le vérificateur PHP2Shell →

Corriger PHP2Shell dans PAN-OS

Limitez l’interface d’administration à des IP internes de confiance ; ne l’exposez pas à Internet.
Si vous comptez sur les Threat IDs 543004 et 97622–97625, faites passer le trafic d’administration par un port du plan de données avec déchiffrement, sinon les signatures ne le voient pas.
Surveillez l’avis pour les versions corrigées de PAN-OS et Panorama et installez-les dès leur sortie.
Tant que l’éditeur n’a pas livré de PHP corrigé, l’interface basée sur PHP ne doit pas être joignable depuis des réseaux non fiables : limitez-la à un réseau d’administration, une liste d’IP autorisées ou un VPN.
Installez la mise à jour de l’éditeur dès sa parution et revérifiez la version.

Vous préférez laisser un agent IA vérifier ? Vérifier si vous êtes touché · Corriger avec un agent IA

Si vous ne pouvez pas encore corriger

Réglez session.upload_progress.enabled = 0 là où les applications ne peuvent pas le modifier (php.ini, php_admin_value dans le pool FPM ou la config Apache), puis redémarrez PHP.
Sous PHP 8.5, réglez fatal_error_backtraces = 0.
Les mesures provisoires de PHP portent aussi sur memory_limit et un post_max_size bas ; suivez précisément la page de correctif, car ces réglages ne couvrent que certains chemins.
Restreignez l’accès (VPN, liste d’IP) ou mettez le service hors ligne s’il tourne en PHP 8.1 ou antérieur sans rétroportage de l’éditeur. Les règles WAF aident mais ne corrigent pas.

FAQ

PAN-OS est-il touché par PHP2Shell ?

Affecté, et l’éditeur n’a pas encore publié de correctif. L’avis de Palo Alto liste PAN-OS 12.2, 12.1, 11.2, 11.1 et 10.2 (toutes versions) ainsi que Panorama comme affectés, avec des versions corrigées « ETA: TBD ». Prisma Access, Cloud NGFW, GlobalProtect App, les produits Cortex et Prisma Cloud sont indiqués comme non affectés. Les clients Threat Prevention doivent activer les Threat IDs 543004 et 97622–97625 (contenu 9162 ou ultérieur), qui ne protègent l’interface d’administration que si son trafic entrant passe par un port du plan de données et est déchiffré. Palo Alto dit n’avoir connaissance d’aucune exploitation malveillante de ses produits ; le bulletin Unit 42 indique avoir vu des preuves de concept.

Mettre à jour PAN-OS suffit-il à corriger CVE-2026-109618 et CVE-2026-109619 ?

Seulement si la mise à jour contient un PHP corrigé. PHP2Shell est une faille de l’interpréteur PHP : ce qui compte, c’est le PHP sur lequel tourne PAN-OS. Vérifiez la version après la mise à jour.

Quelles versions de PHP corrigent PHP2Shell ?

PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, publiées le 21 octobre 2026. PHP 8.1 et antérieur n’ont pas de version du projet PHP ; seuls des builds éditeur avec rétroportage (ou un correctif source compilé soi-même pour 7.4, 8.0 et 8.1) les corrigent.

Et si PAN-OS n’a pas encore de correctif ?

Gardez son interface web basée sur PHP hors d’Internet (VPN ou liste d’IP), appliquez les réglages provisoires de PHP comme la désactivation du session upload progress, et installez la mise à jour de l’éditeur dès sa sortie. Les réglages provisoires réduisent le risque mais ne corrigent pas.

← Tous les produits qui embarquent PHP

Voir aussi : Correctif par plateforme · Versions affectées · État des éditeurs

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

Synthèse non officielle de sources publiques. Ce site n’est affilié ni à l’éditeur ni au projet PHP et n’héberge aucun code d’exploitation.