2026-10-21 PHP2SHELL CVE-2026-109618, CVE-2026-109619 [Documentation interne

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.

====== 2026-10-21 PHP2SHELL CVE-2026-109618, CVE-2026-109619 ======
  * https://www.php.net/archive/2026.php#2026-10-21-5

Versions a jour<code>
8.2.35
8.3.36
8.4.27
8.5.12
</code>

===== Patch debian 12 et debian 13 =====
  * ''apt update'' ''apt upgrade''

===== Patch debian 11 =====

Debian 11 n'est plus maintenu, voila comment appliquer le patch:
  * sources sur debian archives: ''/etc/apt/sources.list''<code>
deb http://archive.debian.org/debian bullseye main contrib non-free
deb http://archive.debian.org/debian bullseye-updates main contrib non-free
</code>
  * ajout du fichier de pinning: ''/etc/apt/preferences.d/php-sury.pref''<code>
Package: php* libapache2-mod-php*
Pin: version 1:7.4*
Pin-Priority: 500

Package: libpcre2-8-0
Pin: origin "packages.sury.org"
Pin-Priority: 500

Package: *
Pin: origin "packages.sury.org"
Pin-Priority: 50
</code>
  * ajout des sources ''php-sury'': ''/etc/apt/sources.list.d/php-sury.list'':<code>
deb [signed-by=/usr/share/keyrings/deb.sury.org-php.gpg] https://packages.sury.org/php/ bullseye main
</code>
  * ajout de la clef du dépôt:<code>
wget https://packages.sury.org/php/apt.gpg -O /usr/share/keyrings/deb.sury.org-php.gpg
</code>
  * maj des depots: ''apt update''
  * Vérification: le pinning sert a ne mettre a jour que les version de ''php'' en 7.4. Si un meta paquet comme ''php-fpm'' ou ''php-cli'' est installé, alors debian va chercher la dernière version disponible et avec le depot ''packages.sury.org'' la dernière version de php est la 8.5. Le pinning sert à éviter une mise à jour vers une nouvelle version majeur de php.
    * faire un ''apt policy php-fpm'' pour vérifier: le résultat doit indiquer un candidat en 7.4 et non pas en 8.qqchose. Exemple<code>
# apt policy php-fpm
php-fpm:
  Installé : 2:7.4+76
  Candidat : 2:7.4+76
 Table de version :
     2:8.4+101+0~20261021.78+debian11~1.gbp53f25f 50
         50 https://packages.sury.org/php bullseye/main amd64 Packages
 *** 2:7.4+76 500
        500 http://archive.debian.org/debian bullseye/main amd64 Packages
        100 /var/lib/dpkg/status
</code>

===== patch debian <= 10 =====
  * patch payant sur https://www.freexian.com/ (debian 10 et 9)
  * sinon rien pour le moment