Hello Arthur (et tous)


> Je suis surpris de ne voir personne en parler ici. A moins que tout le
> monde met à jour à tout va...


Comme retex de la chose, c'est pas vraiment reproductible, des
mitigations plus ou moins satisfaisantes existent pour du temporaire, la
plupart des POC sont faits avec Apache/mod_php (et pourquoi pas en
MS-DOS pendant qu'on y est ?). On trouve quand même un POC avec
Nginx/PHP-FPM. Pendant ce temps, les impôts, la météo, toute l'assurance
maladie (25 sites - à une heure où les patchs étaient déjà dispos) un
gouvernement nordique, le premier ministre japonais, etc. ont coupé tous
leurs sites préventivement. En pratique, y'en a qu'on voulu se faire
mousser. C'est Magnifaïque ou c'est Pépérisant ? (C) Christina Cordula.

Pour se documenter de façon rationnelle, j'ai trouvé ça :

La timeline via l'IA...

https://claude.ai/artifact/5cZex56WutyVnpMBrWXxzV

Et quelques commentaires...

https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-huge-chunks-of-the-web-at-risk/5304611


Commentaires sur HN qui valent leur pesant de cahouètes... Suis pas
hyperfan d'Hacker News mais bon...

https://news.ycombinator.com/item?id=50188948

À l'origine... (joli montage de BD)

https://calif.io/php2shell.x/

Bonne lecture en diagonale...

PS

En tant qu'hébergeur de sites (Wordpress/WooCommerce) et de SAAS
(Dolibarr, Matomo) tournicotant avec du PHP en mousse molle (les
REACTeurs et Nodeurs utilisant le JS ne sont pas mieux lotis), on était
à jour (merci Sury) mais bon... Pff... Le monde tourne sur de la mousse
molle. Ça pourrait être déprimant si ce n'était comique :>>>


>
> En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
>
> En Europe :
> https://cert.europa.eu/publications/security-advisories/2026-018
>
> Chez PHP : https://www.php.net/archive/2026.php
>
> En gros : mettez à jour ou sinon coupez l'accès aux applications
> tournant sous PHP.

--
Stéphane Rivière
Ile d'Oléron - France

_______________________________________________
Liste de diffusion du French Sysadmin Group
https://www.frsag.org/