SafeHiveFaille PHP2Shell : votre serveur est-il vraiment corrigé ?
Deux failles critiques du cœur de PHP permettent à un inconnu d'exécuter du code sur votre serveur web, sans mot de passe. Les correctifs sont sortis le 21 octobre et des tentatives d'exploitation sont observées depuis le même jour. Si votre site roule sur PHP (WordPress, Drupal, Laravel, PrestaShop, Magento, application maison), il est concerné.
Qui doit agir maintenant
Vous avez un serveur à vous
VPS, serveur dédié, machine au bureau, serveur installé par un ancien fournisseur. Personne ne le mettra à jour à votre place. C'est le cas le plus exposé.
Votre site tourne sur un vieux PHP
PHP 7.4, 8.0 ou 8.1 ne recevront pas de version corrigée. Il faut compiler un correctif rétroporté ou migrer vers 8.2 et plus, ce qui demande souvent d'ajuster le site.
Vous avez corrigé après le 21 octobre
La mise à jour ferme la porte, elle ne fait pas sortir quelqu'un qui serait déjà entré. Un fichier malveillant déposé avant le correctif reste en place.
Hébergement mutualisé (cPanel chez un grand hébergeur) ? Votre hébergeur a probablement déjà corrigé. Demandez-lui une confirmation écrite : c'est gratuit et ça vous suffit peut-être.
Loi 25 : si une intrusion a donné accès à des renseignements personnels (clients, patients, employés), c'est un incident de confidentialité. Il doit être inscrit à votre registre, et déclaré à la Commission d'accès à l'information et aux personnes concernées s'il présente un risque de préjudice sérieux.
Ce qu'on fait pour vous
Prix fixes, par serveur, opéré à Laval. Rien n'est touché sur votre serveur sans votre autorisation écrite.
Vérification d'exposition
- Lecture de ce que votre site affiche publiquement : version PHP annoncée, serveur web
- Réponse en 1 jour ouvrable : exposé, probablement corrigé, ou impossible à dire de l'extérieur
- Aucun test intrusif
Intervention PHP2Shell
- Mise à jour vers la version corrigée et redémarrage de tous les processus PHP
- Recherche de compromission : fichiers PHP ajoutés ou modifiés depuis le 20 octobre, scripts web suspects, journaux d'accès
- Attestation PDF : versions avant et après, constats, date et heure
- Pour PHP 8.2 à 8.5 avec accès SSH ou panneau d'administration
PHP abandonné (7.4, 8.0, 8.1)
- Correctif rétroporté compilé, ou migration vers PHP 8.2 et plus
- Tout le contenu de l'intervention
- Prix fixe confirmé par écrit après un premier regard, avant le début des travaux
Ce service n'est pas un test d'intrusion. Une recherche de compromission réduit le risque et documente ce qui a été vérifié, elle ne peut pas prouver qu'aucune intrusion n'a eu lieu. Si on trouve des traces d'intrusion, on vous le dit tout de suite et on vous explique les options avant d'aller plus loin.
Vous préférez le faire vous-même ?
Mettez PHP à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou appliquez la mise à jour de sécurité de votre distribution Linux. Redémarrez ensuite tous les processus PHP (PHP-FPM, Apache). Si vous ne pouvez pas mettre à jour tout de suite, coupez l'accès Internet au serveur ou restreignez-le aux adresses connues. Selon l'équipe PHP, aucun réglage de configuration ne remplace la mise à jour.
Pour savoir quelle version roule réellement, la commande php -v ne suffit pas toujours : le serveur web peut utiliser une autre installation. Une page phpinfo() temporaire, supprimée aussitôt, donne la version et le mode (FPM ou module Apache) vus par le site.