Vérificateur PHP2Shell : ma version de PHP est-elle affectée ?

Faites la vérification PHP2Shell pour chaque environnement PHP : la CLI de l’hôte, chaque pool PHP-FPM, Apache mod_php et chaque image de conteneur peuvent avoir des versions différentes.

Astuce : vous pouvez coller la première ligne de php -v, par exemple PHP 8.3.35 (cli) (built: …). Le vérificateur en extrait le numéro de version.

Ma version de PHP est-elle affectée par PHP2Shell ?

• **Oui**, si vous utilisez PHP 8.2, 8.3, 8.4 ou 8.5 sous la version corrigée du tableau.
• **Probablement oui**, avec PHP 5.4 à 8.1 : ces branches sont en fin de vie et le projet PHP n’a publié aucune version. Certaines distributions rétroportent le correctif ; voir correctifs des distributions.
• **Non affecté selon l’avis**, si vous utilisez la version corrigée ou plus récente et avez redémarré tous les processus PHP après la mise à jour.

Comment vérifier si votre serveur exécute une version PHP vulnérable

Ces commandes en lecture seule affichent uniquement les versions sur vos propres machines. Exécutez-les avec le même utilisateur ou dans le même conteneur que le site, puis collez la version dans le vérificateur PHP2Shell.

# 1. PHP version on the host (CLI)
php -v

# 2. PHP version inside each container
docker ps --format '{{.Names}}'
docker exec <container> php -v

# 3. Package version (shows distro backports)
dpkg -l | grep -E '^ii +php'          # Debian / Ubuntu
rpm -qa | grep -i '^php'              # RHEL / Alma / Rocky / Fedora / SUSE
apk info -v | grep -i '^php'          # Alpine

# 4. Version the web server actually runs (FPM / mod_php may differ from CLI)
php-fpm -v 2>/dev/null || ls /usr/sbin/php-fpm*

Quelles versions de PHP sont corrigées ?

• Versions corrigées amont : **8.5.12**, **8.4.27**, **8.3.36** et **8.2.35** (sources et builds Windows sur php.net).
• Paquets des distributions : voir correctifs des distributions.
• Après la mise à jour, redémarrez PHP-FPM, Apache (mod_php), php-cgi, LiteSpeed ou FrankenPHP et reconstruisez les conteneurs. Étapes : correctif.

Scanner PHP2Shell ou vérification de version ?

• Une **vérification de version** (cette page) compare les numéros fournis. Elle est sûre, instantanée et hors ligne, mais ne voit ni les rétroportages ni l’accessibilité du code vulnérable.
• Un **scanner PHP2Shell** envoie des requêtes à un serveur. N’utilisez un scanner que sur des systèmes qui vous appartiennent ou que vous êtes autorisé à tester. Ce site n’analyse aucun hôte tiers.
• Beaucoup de serveurs masquent la version de PHP (expose_php = Off), et les vérifications distantes les manquent. La vérification depuis le serveur est plus fiable.

Vérifier les produits qui intègrent PHP

• Panneaux de contrôle, NAS, appliances et piles tout-en-un embarquent leur propre PHP, mis à jour au rythme de l’éditeur : cPanel, Plesk, aaPanel, XAMPP, Bitnami, Coolify, CloudPanel, Synology, QNAP, etc.
• Statut, commandes et correctifs par produit : produits.
• Beaucoup d’hôtes ou de conteneurs ? Confiez l’inventaire à un agent IA : vérifier avec l’IA.

Si la vérification PHP2Shell indique « affecté »

• Passez à la version corrigée de votre branche ou installez la mise à jour de sécurité de votre distribution : correctif.
• Redémarrez tous les processus PHP et confirmez la nouvelle version avec php -v et une page phpinfo() temporaire à supprimer aussitôt.
• Si vous ne pouvez pas corriger rapidement, envisagez une mise hors ligne temporaire, comme plusieurs organisations : pannes.