Guide agent IA

Mon produit ou mon site est-il touché ? Vérifier avec un agent IA

Beaucoup de sites n’utilisent pas PHP directement mais via XAMPP, un panneau d’hébergement, un NAS, une image Docker ou un appliance. Ces prompts en lecture seule font trouver à l’agent chaque PHP, le comparer aux versions corrigées et produire un tableau, sans rien modifier.

Dernière mise à jour 2026-10-22

Ce que les prompts font faire à l’agent

Inventorier le PHP système, les packs (XAMPP, MAMP, Laragon), panneaux, conteneurs, NAS et appliances.
Noter version, origine et exposition.
Relier les éléments gérés par l’éditeur aux pages produits.
Produire un tableau : Corrigé / Vulnérable / Inconnu / Géré par l’éditeur.

Utiliser un agent en sécurité

Lisez chaque commande avant de l’approuver ; gardez l’agent dans un mode qui demande avant d’exécuter.
Essayez d’abord en préproduction ou sur une copie ; sauvegarde ou snapshot avant toute modification en production.
Pas de sudo/root sans surveillance en production ; approuvez les commandes privilégiées une par une.
Ne collez jamais mots de passe, clés d’API, jetons ou contenu .env dans un prompt ; inutiles pour vérifier PHP.
Ne demandez pas de code d’exploitation ni de « payloads de test » ; la vérification passe par les versions, changelogs et journaux.
Un agent peut se tromper : confirmez vous-même la version sur le PHP-FPM ou mod_php en service.

Prompts à copier-coller

Les prompts sont en anglais pour que tous les agents les suivent de façon fiable ; la dernière ligne demande un rapport en français. Les faits proviennent des pages de ce site.

Inventaire en lecture seule de tous les PHP d’une machine

Audit this machine for PHP2Shell exposure. This is a READ-ONLY audit.

Context: PHP2Shell is CVE-2026-109618 and CVE-2026-109619, two critical unauthenticated remote-code-execution bugs in the PHP runtime (advisory published 21 October 2026). Fixed upstream releases: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (or later on the same branch). PHP 8.1 and earlier get no upstream fix. Linux distributions may ship backported fixes under an older version string, so check the distro's security tracker / package changelog for CVE-2026-109618 and CVE-2026-109619, not only "php -v".

Rules for you (the agent):
- Read-only: do not install, upgrade, delete, restart or change any file or service. Do not use sudo unless I approve a specific read-only command.
- Do not write, download or run exploit code, and do not probe other hosts.
- Do not print secrets you see; redact them.
- Show each command before you run it.

Find every PHP runtime, including bundled ones:
1. System PHP: php -v, php-fpm*, mod_php, every binary named php* on PATH and under /usr, /opt, /usr/local.
2. Bundled stacks: XAMPP (/opt/lampp, C:\xampp), MAMP (/Applications/MAMP), WampServer, Laragon, Local, Herd, Valet.
3. Hosting panels: cPanel ea-php, Plesk plesk-php, aaPanel/宝塔 /www/server/php, DirectAdmin, CyberPanel lsphp, HestiaCP.
4. Containers: docker ps / docker images / kubectl, and php -v inside each running container.
5. Apps that run on PHP (WordPress, Magento, Drupal, Joomla, Moodle, Nextcloud, phpMyAdmin, GLPI ...) and which PHP each one uses.
6. If this is a NAS or vendor appliance (Synology, QNAP, Unraid, pfSense, OPNsense, FreePBX ...), report the product and firmware version only; such PHP is updated by the vendor firmware.

For each item record: product/location, PHP version, how it is installed (distro package / vendor bundle / container / custom build), whether it is internet-facing, and whether the version is >= the fixed release on its branch or has a distro backport.

Output a verdict table with columns: Item | PHP version | Source | Exposed? | Verdict (Fixed / Vulnerable / Unknown / Vendor-managed) | Next step. Then list the matching product pages from https://phpvulnerabilities.app/affected-products/ for anything vendor-managed.

Write your report in French.

Vérifier un produit ou un appliance précis

I run [PRODUCT NAME AND VERSION]. Tell me whether it is affected by PHP2Shell. This is research and a READ-ONLY check.

Context: PHP2Shell is CVE-2026-109618 and CVE-2026-109619, two critical unauthenticated remote-code-execution bugs in the PHP runtime (advisory published 21 October 2026). Fixed upstream releases: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (or later on the same branch). PHP 8.1 and earlier get no upstream fix. Linux distributions may ship backported fixes under an older version string, so check the distro's security tracker / package changelog for CVE-2026-109618 and CVE-2026-109619, not only "php -v".

Rules: do not write or run exploit code; do not change anything; never ask for or print credentials.

Steps:
1. Find out whether this product bundles its own PHP or uses the system PHP, and which PHP version the version I named ships with.
2. Look for the vendor's official advisory, changelog or knowledge-base article about CVE-2026-109618 / CVE-2026-109619, and the matching page under https://phpvulnerabilities.app/affected-products/. Cite each source with its URL and date; if you find none, say so instead of guessing.
3. If I can give you shell access, list the read-only commands that would confirm the runtime version, and wait for me to run them or approve them.

Output a verdict table: Product | Version | Bundled PHP | Vendor status | Verdict (Fixed / Vulnerable / Unknown) | Fix path (vendor update, upgrade host PHP, or mitigate) | Sources.

Write your report in French.

Audit d’un parc ou d’un dépôt (serveurs, IaC, CI)

Audit this repository (and any inventory files it contains) for PHP2Shell exposure. READ-ONLY: do not edit files, open pull requests or connect to servers unless I approve.

Context: PHP2Shell is CVE-2026-109618 and CVE-2026-109619, two critical unauthenticated remote-code-execution bugs in the PHP runtime (advisory published 21 October 2026). Fixed upstream releases: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (or later on the same branch). PHP 8.1 and earlier get no upstream fix. Linux distributions may ship backported fixes under an older version string, so check the distro's security tracker / package changelog for CVE-2026-109618 and CVE-2026-109619, not only "php -v".

Rules: no exploit code, no scanning of hosts, redact secrets.

1. Search Dockerfiles, compose files, Helm charts, Terraform/Ansible/Puppet/Chef code, CI workflows, .tool-versions, composer.json "config.platform.php" and "require.php" for PHP versions and base images.
2. List every place a PHP version or image is pinned, and resolve tags like php:8.3-fpm to the patch level they currently point to if you can.
3. Mark each as Fixed / Vulnerable / Unknown against 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (or a distro backport), and flag PHP 8.1 or older.

Output a verdict table: File | Line | Image or package | PHP version | Verdict | Suggested change. Do not apply the changes; list them for my review.

Write your report in French.

Agents de code IA courants

Sans classement. Ce site n’est affilié à aucun d’eux.

OpenAI Codex CLI	Lancez `codex` dans le projet ou sur le serveur et collez le prompt ; gardez un mode d’approbation qui demande avant chaque commande.
Claude Code	Lancez `claude` dans un terminal et collez le prompt ; par défaut il demande l’autorisation avant d’exécuter une commande.
Cursor (Agent)	Ouvrez le dépôt ou une session Remote-SSH, collez dans le chat Agent et vérifiez chaque commande.
Cursor Cloud Agents	Adapté aux prompts Docker/dépôt : travaille sur une branche, vous relisez le diff ; pas d’accès à vos serveurs.
Grok Build (xAI CLI)	Agent de code en terminal d’xAI ; lancez-le dans le projet ou sur le serveur. Sans shell, collez dans le chat Grok (grok.com) et exécutez vous-même les commandes.
GitHub Copilot coding agent	Assignez à Copilot une issue contenant le prompt Docker/dépôt ; il ouvre une pull request à relire.
Gemini CLI	Lancez `gemini` dans un terminal, collez le prompt et confirmez chaque commande.
Windsurf (Cascade)	Collez dans Cascade dans l’éditeur ; windsurf.com redirige actuellement vers Devin Desktop.
Cline	Extension VS Code ; collez dans le panneau Cline et approuvez chaque commande.
Aider	Pour les prompts Docker/dépôt : lancez `aider` dans le dépôt et relisez ses commits.

FAQ

Comment savoir si mon site est touché par PHP2Shell ?

Trouvez la version de PHP qui sert le site (pas seulement php -v) et comparez-la à 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ou au paquet rétroporté de votre distribution. Le prompt d’inventaire le fait pour chaque PHP.

L’audit modifie-t-il quelque chose ?

Non. Les prompts imposent la lecture seule et une demande avant toute commande sudo.

Mon PHP est dans un NAS, un panneau ou un appliance ?

Ce PHP est mis à jour par l’éditeur. Consultez la page du produit dans la liste et installez la mise à jour de l’éditeur.