Pourquoi faut-il s'en préoccuper ?
PHP est utilisé par une grande partie des sites web. On le retrouve notamment dans WordPress, PrestaShop et de nombreuses applications développées sur mesure.
Lorsqu’une faille touche directement PHP, ce n’est donc pas uniquement le moteur du site qui est concerné : c’est potentiellement toute application qui utilise une version vulnérable.
Les conséquences dépendent de la configuration du serveur, mais elles peuvent être sérieuses : accès à certaines données, modification de fichiers ou exécution de commandes avec les droits du processus web.
Le plus important est de ne pas attendre qu’un problème apparaisse pour agir.
Comment vérifier et mettre à jour PHP sous Linux ?
Que votre serveur fonctionne sous Debian, Ubuntu, Fedora ou une autre distribution Linux, il est important de vérifier la version de PHP installée et de s’assurer que les correctifs de sécurité sont disponibles.
Les commandes varient selon la distribution utilisée. Voici comment procéder.
1. Vérifier la version de PHP
Commencez par exécuter cette commande :
php -v
Elle affiche la version de PHP disponible dans le terminal.
Pour connaître également les paquets PHP installés, utilisez la commande correspondant à votre distribution.
Debian / Ubuntu :
dpkg-query -W -f=’${Package} ${Version}\n’ ‘php*’ 2>/dev/null
Fedora / Rocky Linux / AlmaLinux / RHEL :
rpm -qa | grep -i ‘^php’
Attention : la version affichée par php -v n’est pas nécessairement celle utilisée par votre serveur web. Si plusieurs versions de PHP sont installées, vérifiez également la configuration d’Apache ou de PHP-FPM.
2. Mettre à jour PHP et les paquets de sécurité
Avant de procéder à une mise à jour, vérifiez que les correctifs correspondant aux vulnérabilités concernées sont disponibles dans les dépôts de votre distribution.
Debian / Ubuntu :
sudo apt update
sudo apt upgrade
Fedora :
sudo dnf upgrade –refresh
Rocky Linux / AlmaLinux / RHEL :
sudo dnf upgrade
Sur les anciennes distributions utilisant encore YUM, la commande suivante peut être nécessaire :
sudo yum update
Ces commandes mettent à jour les paquets concernés par les mises à jour proposées par les dépôts configurés. Elles ne garantissent pas, à elles seules, que les deux vulnérabilités PHP sont corrigées : il faut vérifier les avis de sécurité et les versions des paquets installés.
3. Vérifier les services web
Si votre serveur utilise Apache, vous pouvez contrôler son état avec :
sudo systemctl status apache2
Sur Fedora, Rocky Linux, AlmaLinux et RHEL, le service Apache porte généralement le nom httpd :
sudo systemctl status httpd
Si vous utilisez PHP-FPM, recherchez les services correspondants :
systemctl list-units –type=service –all | grep -E ‘php.*fpm’
Le nom exact du service dépend de la distribution et de la version de PHP installée.
4. Vérifier le bon fonctionnement après la mise à jour
Après l’installation des correctifs, vérifiez la configuration et l’état du serveur web.
Apache sur Debian / Ubuntu :
sudo apachectl configtest
sudo systemctl is-active apache2
Apache sur Fedora / Rocky Linux / AlmaLinux / RHEL :
sudo apachectl configtest
sudo systemctl is-active httpd
Si vous utilisez PHP-FPM, vérifiez également que le service correspondant fonctionne correctement.
Ne redémarrez pas systématiquement tous les services sans vérifier votre configuration : une mise à jour peut nécessiter un redémarrage ou un rechargement du service concerné, selon les paquets et le mode d’exécution de PHP.
Voici quelques liens utiles :
Quelques bonnes habitudes à garder
Cette alerte est aussi l’occasion de rappeler quelques règles simples pour éviter les mauvaises surprises :
- Gardez Debian, PHP, Apache et vos applications à jour.
- Vérifiez régulièrement les versions de PHP utilisées par vos différents sites.
- Effectuez des sauvegardes et assurez-vous de pouvoir les restaurer.
- Surveillez les journaux de votre serveur pour repérer d'éventuelles activités inhabituelles.
- Évitez de faire fonctionner vos services web avec des privilèges trop élevés.
Et surtout, si votre serveur était exposé à une vulnérabilité, gardez à l’esprit qu’une mise à jour ne permet pas d’exclure une éventuelle intrusion antérieure.
Pour conclure
Je vous conseille de prendre quelques minutes pour vérifier vos serveurs, surtout si vous hébergez plusieurs sites ou applications PHP.
Ce genre d’alerte peut sembler très technique au premier abord, mais la première étape est simple : identifier les versions installées, vérifier les correctifs disponibles et mettre à jour dès que possible.
Si vous gérez un serveur Debian, n’hésitez pas à partager vos retours ou les difficultés rencontrées lors de la mise à jour. Cela pourra aider d’autres administrateurs à sécuriser leurs installations.
