Envie de poster une question technique sur du matériel ou du logiciel ?
Allez, viens !

  • GuillaumeFrançais
    3·
    12 days ago

    [ faille PHP ]

    Rebonjour le Jeudi Techno,

    Je me permets de (re)poster le post du CERT-FR :

    https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/

    Suite à la faille patchée la semaine dernière, j’ai vérifié les versions de mes 5 sites qui “tournent” avec du PHP donc, dont

    • trois en version 8.2.35

    • un en version 8.4.27

    il faut que je regarde si ce sont des versions patchées (mais j’ai vu que pour les premiers ils ont été MàJ à partir de 8.2.34).

    Octave Klaba avait communiqué comme quoi OVH a “comblé” la faille.

    Pas de communication sur PHP sur x.com/infomaniak mais ce lien vers cette page pour infomaniak : https://infomaniakstatus.com/en/p7jX3ML9E1/

    • J’ai aussi un vieux site en version 5.5.38 (je sais, c’est mal :(

    Voici le message que j’ai :

    We recommend using PHP version 8.1, but it will run on PHP version 7.0.0 at a minimum.

    Je vais contacter l’hébergeur pour aviser.

    Voici la réponse reçue ailleurs la semaine dernière

    si tu es déjà en PHP 8, ça se fera sans trop de douleur, mais si tu es sur des versions pré-8…

    Si php > 8 : met à jour vers la dernière version 8.5.12 (https://www.php.net/ChangeLog-8.php).

    Je vais regarder comment mettre à jour vers 8.5.12 et aussi contacter mon hébergeur.

    J’espère que la 8.2.35 est une version déjà patchée

    Si php < 8 et que tu as besoin de temps pour tester les effets de bord :

    • mettre memory_limit=-1 pour que les applications ne puissent pas l’outrepasser
    • abaisser post_max_size
    • imposer des limites de taille et de nombre de requêtes au niveau serveur web ou proxy
    • utiliser des limites container/cgroup
    • S’assurer que PHP et sa version ne fuite pas à travers le header X-Powered-By. ça limite un peu le risque. C’est peut être un peu technique, mais quand on parle de mitigation de CVE, pas trop le choix.

    Merci encore à cette personne pour ses explications, je ne sais pas si j’ai la main sur le serveur (mutualisé) pour MàJ ça et éviter quelque chose.

    Hésitez pas si vous avez d’autres conseils ou si vous pouvez confirmer pour 8.2.35. Merci.