Hello ! Je suis surpris de ne voir personne en parler ici. A moins que tout le monde met à jour à tout va... En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/ En Europe : https://cert.europa.eu/publications/security-advisories/2026-018 Chez PHP : https://www.php.net/archive/2026.php En gros : mettez à jour ou sinon coupez l'accès aux applications tournant sous PHP. -- Cordialement, Artur
Eh oui, on mets a jours des tas de trucs avant d en causer. Et on recommencera surement demain : https://x.com/neofutur/status/2112981866227593362 On Wed, Oct 21, 2026 at 8:45 PM Artur par FRsAG <frsag@frsag.org> wrote:
Hello !
Je suis surpris de ne voir personne en parler ici. A moins que tout le monde met à jour à tout va...
En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
En Europe : https://cert.europa.eu/publications/security-advisories/2026-018
Chez PHP : https://www.php.net/archive/2026.php
En gros : mettez à jour ou sinon coupez l'accès aux applications tournant sous PHP.
-- Cordialement, Artur
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
Je vois ce même post tourner depuis hier, il a déjà été vu par l'équipe PHP qui a confirmé que ce n'était ni lié, ni critique (voir le post reddit ici : https://www.reddit.com/r/PHP/comments/1xbyxd2/new_php_cve_discovered/ et notamment la réponse d'IluTov qui est dev PHP). On 2026-10-21 20:58, neo futur par FRsAG wrote:
Eh oui, on mets a jours des tas de trucs avant d en causer.
Et on recommencera surement demain : https://x.com/neofutur/status/2112981866227593362
On Wed, Oct 21, 2026 at 8:45 PM Artur par FRsAG <frsag@frsag.org> wrote:
Hello !
Je suis surpris de ne voir personne en parler ici. A moins que tout le monde met à jour à tout va...
En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
En Europe : https://cert.europa.eu/publications/security-advisories/2026-018
Chez PHP : https://www.php.net/archive/2026.php
En gros : mettez à jour ou sinon coupez l'accès aux applications tournant sous PHP.
-- Cordialement, Artur
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
C'est parce qu'on est déjà à jour :) Le mer. 21 oct. 2026 à 20:44, Artur par FRsAG <frsag@frsag.org> a écrit :
Hello !
Je suis surpris de ne voir personne en parler ici. A moins que tout le monde met à jour à tout va...
En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
En Europe : https://cert.europa.eu/publications/security-advisories/2026-018
Chez PHP : https://www.php.net/archive/2026.php
En gros : mettez à jour ou sinon coupez l'accès aux applications tournant sous PHP.
-- Cordialement, Artur
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
Hello Arthur (et tous)
Je suis surpris de ne voir personne en parler ici. A moins que tout le monde met à jour à tout va...
Comme retex de la chose, c'est pas vraiment reproductible, des mitigations plus ou moins satisfaisantes existent pour du temporaire, la plupart des POC sont faits avec Apache/mod_php (et pourquoi pas en MS-DOS pendant qu'on y est ?). On trouve quand même un POC avec Nginx/PHP-FPM. Pendant ce temps, les impôts, la météo, toute l'assurance maladie (25 sites - à une heure où les patchs étaient déjà dispos) un gouvernement nordique, le premier ministre japonais, etc. ont coupé tous leurs sites préventivement. En pratique, y'en a qu'on voulu se faire mousser. C'est Magnifaïque ou c'est Pépérisant ? (C) Christina Cordula. Pour se documenter de façon rationnelle, j'ai trouvé ça : La timeline via l'IA... https://claude.ai/artifact/5cZex56WutyVnpMBrWXxzV Et quelques commentaires... https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-secu... Commentaires sur HN qui valent leur pesant de cahouètes... Suis pas hyperfan d'Hacker News mais bon... https://news.ycombinator.com/item?id=50188948 À l'origine... (joli montage de BD) https://calif.io/php2shell.x/ Bonne lecture en diagonale... PS En tant qu'hébergeur de sites (Wordpress/WooCommerce) et de SAAS (Dolibarr, Matomo) tournicotant avec du PHP en mousse molle (les REACTeurs et Nodeurs utilisant le JS ne sont pas mieux lotis), on était à jour (merci Sury) mais bon... Pff... Le monde tourne sur de la mousse molle. Ça pourrait être déprimant si ce n'était comique :>>>
En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
En Europe : https://cert.europa.eu/publications/security-advisories/2026-018
Chez PHP : https://www.php.net/archive/2026.php
En gros : mettez à jour ou sinon coupez l'accès aux applications tournant sous PHP.
-- Stéphane Rivière Ile d'Oléron - France
Sauf erreur de ma part, il n'y a pas de différence d'un point de vue facilité d'exploitation entre mod_php et php-fpm Le ven. 23 oct. 2026 à 10:58, Stéphane Rivière par FRsAG <frsag@frsag.org> a écrit :
Hello Arthur (et tous)
Je suis surpris de ne voir personne en parler ici. A moins que tout le monde met à jour à tout va...
Comme retex de la chose, c'est pas vraiment reproductible, des mitigations plus ou moins satisfaisantes existent pour du temporaire, la plupart des POC sont faits avec Apache/mod_php (et pourquoi pas en MS-DOS pendant qu'on y est ?). On trouve quand même un POC avec Nginx/PHP-FPM. Pendant ce temps, les impôts, la météo, toute l'assurance maladie (25 sites - à une heure où les patchs étaient déjà dispos) un gouvernement nordique, le premier ministre japonais, etc. ont coupé tous leurs sites préventivement. En pratique, y'en a qu'on voulu se faire mousser. C'est Magnifaïque ou c'est Pépérisant ? (C) Christina Cordula.
Pour se documenter de façon rationnelle, j'ai trouvé ça :
La timeline via l'IA...
https://claude.ai/artifact/5cZex56WutyVnpMBrWXxzV
Et quelques commentaires...
https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-secu...
Commentaires sur HN qui valent leur pesant de cahouètes... Suis pas hyperfan d'Hacker News mais bon...
https://news.ycombinator.com/item?id=50188948
À l'origine... (joli montage de BD)
Bonne lecture en diagonale...
PS
En tant qu'hébergeur de sites (Wordpress/WooCommerce) et de SAAS (Dolibarr, Matomo) tournicotant avec du PHP en mousse molle (les REACTeurs et Nodeurs utilisant le JS ne sont pas mieux lotis), on était à jour (merci Sury) mais bon... Pff... Le monde tourne sur de la mousse molle. Ça pourrait être déprimant si ce n'était comique :>>>
En France : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
En Europe : https://cert.europa.eu/publications/security-advisories/2026-018
Chez PHP : https://www.php.net/archive/2026.php
En gros : mettez à jour ou sinon coupez l'accès aux applications tournant sous PHP.
-- Stéphane Rivière Ile d'Oléron - France
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
Bonjour Romain,
Sauf erreur de ma part, il n'y a pas de différence d'un point de vue facilité d'exploitation entre mod_php et php-fpm
L'un des deux failles est inopérante avec nginx/php-fpm (voir l'un des liens, il y a un tableau) L'autre est valide (et au moins une vidéo le montre) mais tout le monde n'y arrive pas (sources contradictoires). Ça ressemble à de l'emballement de blogosphère mais on a tout patché dans l'heure, par principe. Au début, on n'avait aucun détail. J'ai l'impression que ça fait du déni de service par OOM interposé. Si c'est ça, c'est pas la mort de l'instance. Mais bon... :( -- Stéphane Rivière Ile d'Oléron - France
Bonjour, Une faille est une faille ... Emballement ou non la règle devrait de toujours partir du principe qu'elle est activement exploitée et de ne pas d'attendre qu'elle fasse parler médiatiquement ou qu'il y ait des poc publiques pour agir ... C'est comme ça que 99% de la France est à poil sur internet avec toutes leurs données en open source. --- Daniel VALAT-VOLFART Développeur Opérationnel danielvalat.fr Le 23 octobre 2026 13:55:18 GMT+02:00, "Stéphane Rivière par FRsAG" <frsag@frsag.org> a écrit :
Bonjour Romain,
Sauf erreur de ma part, il n'y a pas de différence d'un point de vue facilité d'exploitation entre mod_php et php-fpm
L'un des deux failles est inopérante avec nginx/php-fpm (voir l'un des liens, il y a un tableau)
L'autre est valide (et au moins une vidéo le montre) mais tout le monde n'y arrive pas (sources contradictoires).
Ça ressemble à de l'emballement de blogosphère mais on a tout patché dans l'heure, par principe.
Au début, on n'avait aucun détail.
J'ai l'impression que ça fait du déni de service par OOM interposé.
Si c'est ça, c'est pas la mort de l'instance. Mais bon... :(
-- Stéphane Rivière Ile d'Oléron - France
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
Une faille est une faille ... Emballement ou non la règle devrait de toujours partir du principe qu'elle est activement exploitée et de ne pas d'attendre qu'elle fasse parler médiatiquement ou qu'il y ait des poc publiques pour agir ... C'est comme ça que 99% de la France est à poil sur internet avec toutes leurs données en open source. Bonjour Daniel,
La France (et les autres pays) est à poil parce que ces applications internets sont codées par des macaques qui utilisent des langages de singes dans des écosystèmes de gibbons (notez la cohérence... simiesque). Trop de complexité, de langages en mousse, de micro services indébugables et, surtout, de devs qui n'ont pas été formés avec de bonnes méthodes sur de bons outils. Leur taper dessus serait injuste. Ils n'ont pas le savoir faire. Et leur CTO n'est que l'un d'eux, avec l'égo boursouflé en plus ;> Aux states, lu sur HN, une chaîne (oublié le nom) s'est faite toper, elle stockait les mots de passe non hachés... -- Stéphane Rivière Ile d'Oléron - France
La France est à poil ? Euh, vous êtes abonnés à une source d’infos un peu sérieuses qui envoient tous les jours les nouvelles InfoSec ? C’est la planète qui est à poil: https://www.reuters.com/legal/government/leak-website-releases-data-tens-tho... David
Le 2 nov. 2026 à 08:19, Stéphane Rivière par FRsAG <frsag@frsag.org> a écrit :
Une faille est une faille ... Emballement ou non la règle devrait de toujours partir du principe qu'elle est activement exploitée et de ne pas d'attendre qu'elle fasse parler médiatiquement ou qu'il y ait des poc publiques pour agir ... C'est comme ça que 99% de la France est à poil sur internet avec toutes leurs données en open source. Bonjour Daniel,
La France (et les autres pays) est à poil parce que ces applications internets sont codées par des macaques qui utilisent des langages de singes dans des écosystèmes de gibbons (notez la cohérence... simiesque).
Trop de complexité, de langages en mousse, de micro services indébugables et, surtout, de devs qui n'ont pas été formés avec de bonnes méthodes sur de bons outils.
Leur taper dessus serait injuste. Ils n'ont pas le savoir faire. Et leur CTO n'est que l'un d'eux, avec l'égo boursouflé en plus ;>
Aux states, lu sur HN, une chaîne (oublié le nom) s'est faite toper, elle stockait les mots de passe non hachés...
-- Stéphane Rivière Ile d'Oléron - France
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
Hello,
Le 2 nov. 2026 à 15:42, David Ponzone par FRsAG <frsag@frsag.org> a écrit :
La France est à poil ? Euh, vous êtes abonnés à une source d’infos un peu sérieuses qui envoient tous les jours les nouvelles InfoSec ? C’est la planète qui est à poil:
Oui mais disons que le France est particulièrement à poil parce que les rares RSSI ne sont pas écoutés, que la culture de l’informatique n’est pas enseignée, qu’on a une partie des politik qui n’y comprennent rien… Mais aussi il y a aussi l’allergie a l’IA en france qui fait que ces personnes n’osent pas l’utiliser pour fouiller. Voire pire le concept « c’est pas ton travail de remonter les alertes de sécurité », quand un sysadmin consciencieux à l’audace, voire l’outrecuidance de remoter un CVE qui pourrait trouver un SI d’information le week-end parce que c’est pas dans les heures de bureau (ce sysadmin existe, il se reconnaîtra). Ce n’est pas limité à la France, d’autres pays limitrophes ont les mêmes problème. Bref, on n’est pas sortit des ronces… (et après on me traite de paranoïaque quand j’ajoute un filigrane sur les documents que j’envoie…). Xavier -- Xavier BEAUDOUIN
Ouais, y a peut-être aussi la confiance aveugle dans la supply-chain et les sous-traitants comme problème non ? Ca me semble assez global comme problème. Après, il est évident que nous avons quelques ministères qui ont découvert l’informatique en 2000 et Internet en 2010, et dont la force de frappe est essentiellement constituée d’alternants. J’ai rien contre l’alternance mais bon, il est un peu dommage que quand il s’agisse de migrer les SI de l’Education Nationale vers un seul SI, on dilapide 400M€ auprès de SSII pour un projet qui a été finalement annulé. Y aurait sûrement moyen de monter une équipe SI/CyberSec/Dev trans-ministérielle avec les moyens qui sont actuellement gaspillés. David
Le 2 nov. 2026 à 09:13, Xavier Beaudouin par FRsAG <frsag@frsag.org> a écrit :
Hello,
Le 2 nov. 2026 à 15:42, David Ponzone par FRsAG <frsag@frsag.org> a écrit :
La France est à poil ? Euh, vous êtes abonnés à une source d’infos un peu sérieuses qui envoient tous les jours les nouvelles InfoSec ? C’est la planète qui est à poil:
Oui mais disons que le France est particulièrement à poil parce que les rares RSSI ne sont pas écoutés, que la culture de l’informatique n’est pas enseignée, qu’on a une partie des politik qui n’y comprennent rien… Mais aussi il y a aussi l’allergie a l’IA en france qui fait que ces personnes n’osent pas l’utiliser pour fouiller.
Voire pire le concept « c’est pas ton travail de remonter les alertes de sécurité », quand un sysadmin consciencieux à l’audace, voire l’outrecuidance de remoter un CVE qui pourrait trouver un SI d’information le week-end parce que c’est pas dans les heures de bureau (ce sysadmin existe, il se reconnaîtra).
Ce n’est pas limité à la France, d’autres pays limitrophes ont les mêmes problème.
Bref, on n’est pas sortit des ronces… (et après on me traite de paranoïaque quand j’ajoute un filigrane sur les documents que j’envoie…).
Xavier -- Xavier BEAUDOUIN
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
J’ai rien contre l’alternance mais bon, il est un peu dommage que quand il s’agisse de migrer les SI de l’Education Nationale vers un seul SI, on dilapide 400M€ auprès de SSII pour un projet qui a été finalement annulé.
Ce pays étant une bananeraie, au nom de l'alternance, il est normal qu'après que la gaôche.drôate se soit rincée, la drôate.gaôche se rince à son tour. Machine à laver, essorage, repassage, ce n'est que de la politesse entre amis. Le SI de l'Éducation Nationale n'était qu'un prétexte. -- Stéphane Rivière Ile d'Oléron - France
Tiens, de quoi passer le temps: https://djad04.github.io/php2shell-deep-dive/ David
Le 23 oct. 2026 à 13:55, Stéphane Rivière par FRsAG <frsag@frsag.org> a écrit :
Bonjour Romain,
Sauf erreur de ma part, il n'y a pas de différence d'un point de vue facilité d'exploitation entre mod_php et php-fpm
L'un des deux failles est inopérante avec nginx/php-fpm (voir l'un des liens, il y a un tableau)
L'autre est valide (et au moins une vidéo le montre) mais tout le monde n'y arrive pas (sources contradictoires).
Ça ressemble à de l'emballement de blogosphère mais on a tout patché dans l'heure, par principe.
Au début, on n'avait aucun détail.
J'ai l'impression que ça fait du déni de service par OOM interposé.
Si c'est ça, c'est pas la mort de l'instance. Mais bon... :(
-- Stéphane Rivière Ile d'Oléron - France
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
bon ben ........ "Tiens, de quoi passer le temps:" https://terminal2shell.com/ On 11/10/26 20:36, David Ponzone par FRsAG wrote:
Tiens, de quoi passer le temps:
https://djad04.github.io/php2shell-deep-dive/
David
Le 23 oct. 2026 à 13:55, Stéphane Rivière par FRsAG <frsag@frsag.org> a écrit :
Bonjour Romain,
Sauf erreur de ma part, il n'y a pas de différence d'un point de vue facilité d'exploitation entre mod_php et php-fpm
L'un des deux failles est inopérante avec nginx/php-fpm (voir l'un des liens, il y a un tableau)
L'autre est valide (et au moins une vidéo le montre) mais tout le monde n'y arrive pas (sources contradictoires).
Ça ressemble à de l'emballement de blogosphère mais on a tout patché dans l'heure, par principe.
Au début, on n'avait aucun détail.
J'ai l'impression que ça fait du déni de service par OOM interposé.
Si c'est ça, c'est pas la mort de l'instance. Mais bon... :(
-- Stéphane Rivière Ile d'Oléron - France
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
_______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
Hello tous, j'avais oublié que ça pouvait peut être intéresser des gens ici, mais si vous avez de vieilles machines Debian eol à patcher, j'ai mis en ligne un miroir dans lequel j'ai rétroporté toutes les vulnérabilités PHP depuis 2023 pour Debian 9, 10 et 11. C'est livré sans garantie, mais ça a été déployé avec succès sur plusieurs centaines de machines (kernel & php). Les sources sont également livrées. https://www.christophe-casalegno.com/stackx-php-et-noyaux-linux-6-12-lts-pour-debian-9-10-11/[1] Bon courage s'il y en a qui sont concerné, et bonne nuit aux autres. amicalement, -- Christophe Casalegno - Entrepreneur & Biohacker Passionate about longevity, science & technology Founder & CEO, ScalarX, Override Capital & more https://scalarx.com | https://override.capital | https://all.bo -------- [1] https://www.christophe-casalegno.com/stackx-php-et-noyaux-linux-6-12-lts-pou...
participants (10)
-
Artur -
Christophe Casalegno -
Daniel VALAT -
David Ponzone -
h38org -
Imad Soltani -
neo futur -
Romain -
Stéphane Rivière -
Xavier Beaudouin