PHP2Shell : les paquets PHP corrigés pour grommunio sont désormais disponibles

Des paquets PHP mis à jour permettant de corriger les vulnérabilités critiques PHP2Shell sont désormais disponibles à la fois dans la communauté grommunio et dans les dépôts pris en charge. Nous vous recommandons vivement de sécuriser vos systèmes dès maintenant.

Qu’est-ce que PHP2Shell ?

PHP2Shell est le nom donné à deux vulnérabilités critiques du moteur d’exécution PHP lui-même, CVE-2026-109618(opens in a new tab) et CVE-2026-109619, chacune notée CVSS 9,2. Elles peuvent permettre à un attaquant non authentifié d’exécuter du code à distance à l’aide d’une seule requête, avant même que le code de l’application ne soit exécuté. Cela signifie qu’un serveur peut être exposé même lorsque les applications PHP qui y sont hébergées sont parfaitement sécurisées.

• CVE-2026-109618 : une allocation interrompue par un problème de mémoire insuffisante peut laisser les données de la requête partiellement initialisées, et le processus de nettoyage de la requête peut alors traiter ces données invalides comme valides.
• CVE-2026-109619 : l’état interne associé à une requête peut survivre à la mémoire à laquelle il fait référence ; ainsi, une requête ultérieure sur le même worker pourrait l’utiliser avant qu’il ne soit réinitialisé.

Toutes les installations PHP traitant des requêtes Web sont concernées, y compris PHP-FPM, utilisé par grommunio. Des détails sur ces failles ont fuité avant la date de divulgation coordonnée, et des chercheurs en sécurité signalent déjà des tentatives d’exploitation en milieu réel. L’équipe en amont de PHP a publié des versions corrigées (8.5.12, 8.4.27, 8.3.36 et 8.2.35) et indique que la mise à jour est la seule option sûre, car les solutions de contournement disponibles ne bloquent qu’une partie des vecteurs d’attaque.

Pour en savoir plus : Help Net Security, The Hacker News, SecurityWeek et la FAQ de watchTower.

Comment effectuer la mise à jour

La mise à jour ne nécessite que quelques commandes :

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Au lieu de zypper ref et zypper up, vous pouvez également utiliser le programme de mise à jour Web dans grommunio Admin ou exécuter grommunio-update en ligne de commande. Dans tous les cas, redémarrez php-fpm après la mise à jour : cela garantit que chaque worker exécute le binaire PHP corrigé.

Nos tests automatisés et un grand nombre de vérifications manuelles n’ont révélé aucun effet secondaire. Cela dit, à ce stade précoce, personne ne peut garantir qu’il n’y en a pas. Tous nos tests se sont avérés concluants, et les mesures d’atténuation se sont révélées efficaces dans toutes nos configurations de laboratoire.

Bonus : une interface web plus rapide grâce à OPcache

Depuis quelque temps déjà, vous pouvez également installer php8-opcache avec grommunio. OPcache conserve le code PHP précompilé en mémoire, ce qui rend grommunio Web nettement plus rapide. C’est pourquoi la commande zypper in php8-opcache est incluse ci-dessus. Si vous l’avez déjà installé, zypper l’ignore tout simplement.

Paquets hors bande, en amont des mises à jour officielles de SUSE

Ces paquets sont des mises à jour hors cycle que nous avons nous-mêmes compilées et que nous fournissons, indépendamment des paquets officiels fournis par SUSE. Grâce à notre infrastructure de compilation et à notre pipeline de tests, nous avons pu les publier avant même que les mises à jour de maintenance officielles de SUSE ne soient disponibles. Nous en sommes fiers et remercions notre équipe pour cette rapidité d’exécution.

Dès que SUSE publiera ses propres paquets PHP corrigés, nous retirerons nos paquets provisoires des dépôts grommunio afin que les paquets fournis par SUSE reprennent la priorité. Comme les paquets présents sur votre système proviendront alors d’un autre fournisseur (et porteront éventuellement un numéro de version inférieur), zypper ne basculera pas automatiquement en arrière. Le moment venu, vous devrez autoriser explicitement le changement de fournisseur, par exemple :

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Nous vous informerons lorsque cette étape sera nécessaire, en vous fournissant les instructions précises.

Vous n’utilisez pas grommunio sur SUSE ?

Sur Debian, Ubuntu et d’autres distributions, PHP provient de votre distribution. Installez les mises à jour de sécurité PHP fournies par votre distribution, puis redémarrez php-fpm.

Des questions ?

D’autres informations suivront. Retrouvez les discussions et les dernières mises à jour sur notre communauté. Les clients disposant d’un abonnement peuvent contacter directement le support grommunio.