Guides de sécurité PHP : classes de vulnérabilités, sûreté des versions et correctifs des distributions

Guides de sécurité PHP

Au-delà de PHP2Shell, la plupart des compromissions de sites PHP viennent d’une poignée de classes de bugs bien connues dans le code applicatif. Ces guides expliquent chacune simplement, comment la trouver dans votre code et comment la corriger.

Dernière mise à jour 2026-10-22

Classes de vulnérabilités PHP courantes

Injection d’objets PHP : de quoi s’agit-il et comment corrigerL’injection d’objets PHP survient quand une entrée contrôlée par l’utilisateur atteint unserialize(), qui peut instancier des objets dont les méthodes magiques exécutent une logique choisie par l’attaquant.
Inclusion de fichiers PHP (LFI/RFI) : de quoi s’agit-il et comment corrigerL’inclusion de fichiers survient quand une entrée utilisateur contrôle le chemin passé à include ou require, ce qui permet de lire des fichiers locaux (LFI) ou, avec allow_url_include activé, d’exécuter du code distant (RFI).
SSRF en PHP : de quoi s’agit-il et comment corrigerLa falsification de requête côté serveur (SSRF) survient quand une application PHP récupère une URL contrôlée par l’utilisateur, ce qui permet d’atteindre des services internes ou des points de métadonnées cloud via votre serveur.
XSS en PHP : de quoi s’agit-il et comment s’en protégerLe cross-site scripting (XSS) survient quand une page PHP affiche dans du HTML des données contrôlées par l’utilisateur sans échappement, si bien que le script d’un attaquant s’exécute dans le navigateur d’autres visiteurs.
Exposition de phpinfo() : pourquoi c’est important et comment corrigerUne page phpinfo() publique révèle la version exacte de PHP, les modules chargés, les chemins et souvent des variables d’environnement ou des secrets, ce qui aide les attaquants à cibler des failles comme PHP2Shell.

Versions, distributions et avis liés

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

Cross Site Scripting Prevention Cheat Sheet — OWASP Cheat Sheet Series
Server-Side Request Forgery Prevention Cheat Sheet — OWASP Cheat Sheet Series
Supported Versions — PHP project (php.net)
Security update available for Adobe Commerce | APSB25-88 — Adobe