PHP2Shell dans XAMPP : est-il touché et comment corriger

Vérifier la version de PHP utilisée par XAMPP

Lancez la commande adaptée à votre installation. Une version égale ou supérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 dans sa branche est corrigée ; les branches plus anciennes ne le sont que par un build éditeur qui l’indique.

C:\xampp\php\php.exe -v
/opt/lampp/bin/php -v

Le php en ligne de commande peut différer du PHP qui sert le site. Pour en être sûr, vérifiez la SAPI web (une page phpinfo() temporaire protégée par authentification, ou les réglages PHP du panneau) puis supprimez-la. Notre vérificateur de version compare le numéro pour vous.

🔎 Vous avez un numéro de version ? Collez-le dans le vérificateur PHP2Shell →

Corriger PHP2Shell dans XAMPP

1. XAMPP est une pile de développement. S’il est joignable depuis Internet ou le réseau local, arrêtez Apache tout de suite ou liez-le à 127.0.0.1.
2. Sauvegardez C:\xampp\php, téléchargez le zip PHP 8.2.35 Thread Safe x64 sur windows.php.net (le module Apache exige une version Thread Safe), décompressez-le dans le dossier php et remettez votre php.ini. Restez sur la branche 8.2 pour que php8apache2_4.dll corresponde toujours à la configuration d’Apache.
3. Redémarrez Apache depuis le XAMPP Control Panel et vérifiez la version avec php -v et une page phpinfo() temporaire.
4. Pour tout ce qui est public, passez à une pile maintenue (paquets de la distribution, images Docker php ou panneau corrigé).
5. Sans build de l’éditeur, la solution « maison » consiste à remplacer le PHP embarqué par un build officiel corrigé de la même branche. Gardez une sauvegarde de l’ancien dossier et de votre php.ini.
6. Redémarrez le serveur web et revérifiez la version indiquée par la SAPI web.

Vous préférez laisser un agent IA vérifier ? Vérifier si vous êtes touché · Corriger avec un agent IA

Si vous ne pouvez pas encore corriger

• Réglez session.upload_progress.enabled = 0 là où les applications ne peuvent pas le modifier (php.ini, php_admin_value dans le pool FPM ou la config Apache), puis redémarrez PHP.
• Sous PHP 8.5, réglez fatal_error_backtraces = 0.
• Les mesures provisoires de PHP portent aussi sur memory_limit et un post_max_size bas ; suivez précisément la page de correctif, car ces réglages ne couvrent que certains chemins.
• Restreignez l’accès (VPN, liste d’IP) ou mettez le service hors ligne s’il tourne en PHP 8.1 ou antérieur sans rétroportage de l’éditeur. Les règles WAF aident mais ne corrigent pas.

FAQ

Produits liés

• WampServerCorrectif éditeur disponible
• MAMP and MAMP PROAucun avis de l’éditeur
• LaragonAucun avis de l’éditeur
• Laravel HerdCorrectif éditeur disponible
• ServBayPartiellement corrigé
• FrankenPHP and Laravel OctaneCorrectif éditeur disponible

← Tous les produits qui embarquent PHP

Voir aussi : Correctif par plateforme · Versions affectées · État des éditeurs

Synthèse non officielle de sources publiques. Ce site n’est affilié ni à l’éditeur ni au projet PHP et n’héberge aucun code d’exploitation.