Suis-je vulnérable ?

Vérificateur de version PHP2Shell

Collez une version, la sortie de php -v, ou tout un parc — une version par ligne. La vérification se fait dans votre navigateur ; rien n’est envoyé.

Dernière vérification 2026-10-22

Collez une version, la sortie de php -v, ou une version par ligne pour tout un parc. Tout s’exécute dans votre navigateur.

Essayez :

La CLI et le serveur web peuvent utiliser des builds PHP différents. Vérifiez la version réellement utilisée par votre serveur web : php-fpm -v (ou php-fpm8.3 -v), ou phpinfo() servi par ce site.

BrancheVulnérableCorrigé dans
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4toutesRétroportage source seulement
5.4 – 7.3toutesAucun correctif

Récupérer les versions à coller

Ce qui compte, c’est le PHP qui répond aux requêtes web. La CLI de la même machine peut être un autre build.

shell
# One host: the binary that serves web traffic
php-fpm -v 2>/dev/null || php -v

# Many hosts over SSH — paste the output into the checker
for h in web1 web2 web3; do
  printf '%s ' "$h"; ssh "$h" "php -r 'echo PHP_VERSION, PHP_EOL;'"
done

# Exact Debian/Ubuntu package version (shows distro backports)
dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'

# RHEL family
rpm -q php-common

Ce que signifie chaque résultat

RésultatSignificationQue faire
VulnérableVersion amont inférieure à la première version corrigée de sa branche.Mettre à jour et redémarrer. S’il s’agit d’un paquet d’OS, vérifiez d’abord le changelog — il contient peut-être déjà le rétroportage.
Vérifier l’éditeurLa chaîne de version porte un suffixe de distribution (ubuntu, deb, el, amzn, suse, fc).Les distributions rétroportent les correctifs sans incrémenter le numéro amont. Cherchez la CVE dans le changelog du paquet.
Vulnérable · fin de vieBranche 8.1 ou plus ancienne — aucune nouvelle version de PHP.Migrer vers 8.4/8.5. En attendant : rétroportage de l’éditeur, ou rétroportage source de PHP pour 7.4/8.0/8.1.
CorrigéÉgale ou supérieure à la première version corrigée.Assurez-vous que chaque worker a été redémarré après la mise à jour.
Branche plus récenteUne branche plus récente que toutes celles de l’avis.Devrait inclure le correctif ; confirmez dans les notes de version.
Non pris en chargeAntérieure à 5.4 — hors de la plage signalée.Non listée comme concernée, mais sans support depuis longtemps et truffée d’autres bugs critiques. Migrez.

Pourquoi les builds de distribution méritent un second regard

8.3.6-0ubuntu0.24.04.x chez Ubuntu ou 8.2.x-1~deb12uN chez Debian conservent le numéro amont d’origine et ajoutent les correctifs de sécurité par-dessus. Une machine peut donc afficher « 8.3.6 » et être corrigée. L’inverse est vrai aussi : un numéro élevé issu d’une vieille image peut ne pas l’être.

Les paquets du dépôt d’Ondřej Surý (deb.sury.org) suivent les versions amont ; le vérificateur les traite donc comme des versions officielles.

Étape suivante