Ce qui vient de se passer avec PHP2Shell n’est pas nouveau. Il y en a eu d’autres avant cela qui ont fait transpirer quelques sysadmins, je repense notamment à Shellshock ou GHOST (pour lesquels mes vieux patchs sont toujours en ligne).
Il existe un monde fictif dans lequel toutes les applications suivent toutes les mises à jour des systèmes et des services… puis il y a le monde réel. Un monde dans lequel un serveur ne disparaît pas le jour de l’end of life de la distribution ou d’un service, pas plus que le jour où une faille est publiée.
Ce monde, c’est celui d’une partie de nos clients : un monde dans lequel une migration ne se termine pas nécessairement dans le délai qu’impose la sortie d’une vulnérabilité critique comme ici.
Donc comment cela se passe dans la vraie vie ? On ferme… on perd des clients (qui meurent…) ou on trouve des solutions ! Avec PHP2Shell, il a donc fallu trouver une solution dans notre cas, pour des machines qui tournent encore sous Debian 9 (Stretch) et 10 (Buster).
Chez ScalarX, on ne juge pas les clients parce qu’ils n’ont pas encore migré. On leur explique les risques, on les encourage à passer sur des versions supportées, on les accompagne. Et pendant ce temps, on continue à chercher des solutions pour protéger leurs services.
Une vieille application métier, une dépendance qui bloque, un système industriel intégré, un projet de migration qui prend du retard… les contraintes existent, et elles sont réelles. Et notre boulot, c’est aussi de faire avec.
J’ai donc réalisé, en m’appuyant sur mes systèmes agentiques, un travail de rétroportage pour ces anciennes distributions Debian, à partir des correctifs PHP et du formidable travail déjà réalisé par Sury pour Debian 11, 12 et 13 : adaptation des correctifs, reconstruction des paquets et des extensions, tests de mise à jour et de cohabitation de toutes les versions de PHP qui étaient supportées sur ces distributions.
À l’origine, ce travail était destiné à nos clients StackX, mais comme pour le reste des outils que j’utilise, je pense qu’il peut servir à d’autres, et même si c’est une seule autre personne : autant le partager 🙂
Les paquets et leurs sources sont donc à votre disposition, en accès libre :
Dépôt PHP ScalarX pour Debian 9 et 10
Le périmètre disponible, en amd64 :
- Debian 9 Stretch : PHP 5.6, 7.0 à 7.4, 8.0 et 8.1.
- Debian 10 Buster : les mêmes branches, plus PHP 8.2 et 8.3.
Les paquets intègrent les correctifs PHP2Shell, CVE-2026-109618 et CVE-2026-109619, ainsi que les compléments CVE-2023-0662 et CVE-2026-7568 sur les branches concernées.
Les reconstructions et les tests ciblés ont été réalisés dans des VM isolées, notamment pour vérifier les extensions, les uploads, les sessions et la cohabitation multiversion utilisée par StackX. De premiers lots ont également été déployés sur des machines de notre parc dans un premier temps, puis sur l’ensemble du parc concerné sans problème particulier remonté pour le moment.
Les sources et les fichiers de packaging contenant les correctifs sont en ligne. Vous pouvez examiner les modifications, les comparer et reconstruire les paquets de votre côté si vous le souhaitez.
Pour faciliter l’utilisation, un script Bash détecte Debian 9 ou 10 et ajoute le dépôt correspondant. Il n’installe rien : vous gardez la main sur les mises à jour avec APT.
Quelques précisions : c’est fourni en l’état, sans garantie, et cela ne rétablit pas le support général de ces anciennes versions. Le dépôt est actuellement accessible en HTTPS, sans signature APT. Testez sur une copie de votre machine avant de déployer : les validations réalisées ne couvrent probablement pas toutes les applications ni toutes les configurations ; elles sont limitées aux nôtres.
Certains comportements changent aussi : le suivi de progression natif des uploads est neutralisé sur certaines branches, et le correctif multipart ajoute une limite au nombre de parties traitées. À vérifier si vos applications reposent sur ces fonctions ou utilisent de très gros formulaires.
Si ça peut vous dépanner, vous faire gagner du temps ou vous aider à protéger une machine qui attend sa migration, servez-vous. Et les retours précis sont les bienvenus.
Love <3
Laisser un commentaire