Des vulnérabilités critiques ont été découvertes dans PHP qui impactent toutes les versions à partir de PHP 7.0. Ces failles ne devaient être annoncées publiquement que demain. Cependant, en raison de fuites, ceci a été devancé en urgence à aujourd'hui.
Pour plus de détails: https://www.php2shell.com/
= Si vous avez un contrat de support avec Koumbit =
Si nous gérons votre serveur ou que vous avez un hébergement partagé ou le Nextcloud mutualisé, nous avons fait le nécessaire en urgence ce matin. Les versions de PHP ayant déjà reçu les fixes de sécurité sont à jour sur vos services. Lorsque la version de PHP concernée n'a pas encore été patchée (ou est trop ancienne), nous avons avons appliqué des modifications au "php.ini" afin de mitiger ces failles et empêcher leur exploitation.
Notez que si nous ne gérons que les mises à jour de votre installation NextCloud, ceci n'est pas inclus.
= Si nous ne gérons pas votre serveur =
Assurez-vous d'appliquer le plus rapidement possible les mises à jour disponibles pour PHP!
Si votre serveur installe PHP depuis les sources Debian, notez que seules les versions 8.2 et 8.4 ont présentement reçu les fixes de sécurité. Vous pouvez vérifier l'état des mises à jour pour les deux failles ici:
- https://security-tracker.debian.org/tracker/CVE-2026-109618
- https://security-tracker.debian.org/tracker/CVE-2026-109619
Si vous installez PHP depuis les sources Sury, toutes les versions ont été patchées.
Si votre serveur utilise une version de PHP qui n'est pas encore patchée, ou qui ne le sera pas, vous pouvez modifier les options PHP comme suit dans votre php.ini afin de mitiger.
memory_limit = -1 post_max_size = 8M upload_max_filesize = 8M session.upload_progress.enabled = 0 display_errors = 0 fatal_error_backtraces = 0 expose_php = 0
Notez qu'idéalement ceci ne devrait être qu'une solution temporaire. Si votre serveur utilise une version non patchée, vous devriez planifier rapidement une mise à jour de PHP. Vous pourriez également choisir d'utiliser la version fournie par les sources Sury d'ici là: https://packages.sury.org/php/
Si vous avez des questions ou besoin d'aide à ce sujet, contactez-nous à support@koumbit.org.
Le Réseau Koumbit
