Hello Arthur (et tous)
Je suis surpris de ne voir personne en parler ici. A moins que tout le
monde met à jour à tout va...
Comme retex de la chose, c'est pas vraiment reproductible, des
mitigations plus ou moins satisfaisantes existent pour du temporaire, la
plupart des POC sont faits avec Apache/mod_php (et pourquoi pas en
MS-DOS pendant qu'on y est ?). On trouve quand même un POC avec
Nginx/PHP-FPM. Pendant ce temps, les impôts, la météo, toute l'assurance
maladie (25 sites - à une heure où les patchs étaient déjà dispos) un
gouvernement nordique, le premier ministre japonais, etc. ont coupé tous
leurs sites préventivement. En pratique, y'en a qu'on voulu se faire
mousser. C'est Magnifaïque ou c'est Pépérisant ? (C) Christina Cordula.
Pour se documenter de façon rationnelle, j'ai trouvé ça :
La timeline via l'IA...
https://claude.ai/artifact/5cZex56WutyVnpMBrWXxzV
Et quelques commentaires...
https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-huge-chunks-of-the-web-at-risk/5304611
Commentaires sur HN qui valent leur pesant de cahouètes... Suis pas
hyperfan d'Hacker News mais bon...
https://news.ycombinator.com/item?id=50188948
À l'origine... (joli montage de BD)
https://calif.io/php2shell.x/
Bonne lecture en diagonale...
PS
En tant qu'hébergeur de sites (Wordpress/WooCommerce) et de SAAS
(Dolibarr, Matomo) tournicotant avec du PHP en mousse molle (les
REACTeurs et Nodeurs utilisant le JS ne sont pas mieux lotis), on était
à jour (merci Sury) mais bon... Pff... Le monde tourne sur de la mousse
molle. Ça pourrait être déprimant si ce n'était comique :>>>
En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
En Europe :
https://cert.europa.eu/publications/security-advisories/2026-018
Chez PHP : https://www.php.net/archive/2026.php
En gros : mettez à jour ou sinon coupez l'accès aux applications
tournant sous PHP.
--
Stéphane Rivière
Ile d'Oléron - France
_______________________________________________
Liste de diffusion du French Sysadmin Group
https://www.frsag.org/
