CVE-2026-109618 · CVE-2026-109619
PHP2Shell
contrôle d’en-têtes
Outil défensif TypeScript : on lit ce que le site annonce, ou ce que le partenaire fournit. On ne déclenche pas le bogue mémoire.
Lecture seule
aucun payload
Analyser une URL partenaire
Collez l’URL, HEAD puis GET si 405/501, jusqu’à 5 redirections avec re-vérification SSRF. Si X-Powered-By / Server masquent la version (expose_php=Off, CDN, WAF), le scan distant reste INCONNU : ce n’est ni « sûr » ni une preuve de correctif.
- Le défaut est dans le moteur PHP. Un update WordPress, Laravel ou Drupal ne corrige pas PHP2Shell.
- Ce scan distant ne peut ni déclencher, ni confirmer le bogue mémoire. Il compare seulement une version exposée aux planchers OpenAI.
- Même « OK » exige un redémarrage des workers PHP. Un nœud CDN ou un vieux php-fpm peut encore servir l’ancienne binaire.
- Les backports distro peuvent corriger PHP sans changer le numéro de version affiché.
- Un cookie PHPSESSID, une URL en .php ou la balise generator WordPress sont des indices faibles : « PHP probable, version masquée », toujours INCONNU.
Ce que le tampon veut dire
VULNÉRABLEVersion PHP connue et sous (ou égale à) le plancher OpenAI. Code de sortie CLI : 1.
OKVersion stable au-dessus du plancher. Comparaison seulement, pas une preuve de correctif. Code de sortie : 0.
INCONNUPas de version, en-têtes strippés, préversion, branche hors table. Code de sortie : 3. INCONNU ≠ sûr, ce n’est pas un feu vert.
PHP probable, version masquéeIndice faible (PHPSESSID, URL .php, générateur CMS). Le tampon reste INCONNU : on ne passe pas à OK ni à VULNÉRABLE.
BRANCHE EOLPHP 8.1 et plus ancien : vérifier un backport distro, ne pas cocher « patché ». Le CLI officiel peut encore afficher OK.
PAS DE PREUVE PHPAucun signal PHP distant. Fréquent avec expose_php=Off, un CDN ou un WAF. Le site peut quand même tourner derrière un proxy.
RéseauTLS, timeout, DNS, connexion refusée et 405 sont distingués. Le CLI officiel ne suit pas les redirections ; cette UI si (max 5).