Contexte : deux failles RCE critiques PHP (" PHP2Shell ", CVE-2026-109618 et CVE-2026-109619, CVSS 9.2) ont fait l'objet d'un correctif officiel le 21 octobre 2026 à 14h UTC. Exploitation de masse attendue dans les minutes qui suivent. Vérifie toi-même sur php.net et les avis de sécurité GitHub de php-src les versions touchées et corrigées : ne te fie pas à ta mémoire.
1. Audit (lecture seule, aucune modification) sur cette machine :
- toutes les installations PHP (CLI, FPM, mod_php, conteneurs Docker, versions multiples), leur origine (paquets distro, PPA/Remi, compilation, image) et les services qui les utilisent ;
- les bases de code en prod qui tournent dessus, et leur exposition (vhosts publics, ports, reverse proxy) ;
- pour chaque installation : vulnérable / corrigée / sans correctif possible (branches en fin de vie) ;
- signes de compromission éventuelle depuis le 20 octobre : fichiers PHP récemment créés ou modifiés dans les webroots, webshells probables, processus ou connexions sortantes inhabituels, entrées suspectes dans les logs web et FPM.
Livre un tableau de synthèse classé par niveau de risque.
2. Plan de correction urgent, présenté avant toute action :
- mesures immédiates possibles avant ou sans patch (isolement des apps exposées, règles WAF/reverse proxy, désactivation de ce qui n'est pas indispensable), avec leur impact sur le service ;
- un script de mise à jour automatique qui surveille le gestionnaire de paquets de la source réellement utilisée, installe la version corrigée dès qu'elle est disponible, sauvegarde la config, redémarre proprement les services, vérifie la version et la santé des sites, et prévoit un rollback en cas d'échec ;
- le cas des versions sans correctif (migration ou isolement).
STOP : attends ma validation explicite avant toute modification, installation, redémarrage ou activation du script (cron/timer).
3. Après validation : applique uniquement ce que j'ai validé, sauvegarde avant de toucher à quoi que ce soit, n'invente aucune option ou commande non documentée, ne supprime rien définitivement (fichiers suspects mis en quarantaine, pas effacés).
4. Vérification : version PHP effective par service (pas seulement en CLI), sites qui répondent, logs propres. Récap final : ce qui a été fait, ce qui reste exposé, ce qui demande une décision de ma part.
