{"id":443454,"date":"2026-10-21T19:59:12","date_gmt":"2026-10-21T17:59:12","guid":{"rendered":"https:\/\/www.glpi-project.org\/?p=443454"},"modified":"2026-10-21T19:59:12","modified_gmt":"2026-10-21T17:59:12","slug":"%f0%9f%9a%a8-critical-php2shell-php-vulnerabilities-cve-2026-109618-cve-2026-109619-what-you-need-to-know-for-your-glpi-server","status":"publish","type":"post","link":"https:\/\/www.glpi-project.org\/fr\/%f0%9f%9a%a8-critical-php2shell-php-vulnerabilities-cve-2026-109618-cve-2026-109619-what-you-need-to-know-for-your-glpi-server\/","title":{"rendered":"\ud83d\udea8 Vuln\u00e9rabilit\u00e9s PHP \"php2shell\" (CVE-2026-109618 &amp; CVE-2026-109619) : Quel impact pour votre serveur GLPI ?"},"content":{"rendered":"<p class=\"wp-block-paragraph translation-block\">Le 21 octobre 2026 \u00e0 14h00 UTC, l'\u00e9quipe de d\u00e9veloppement PHP a publi\u00e9 des mises \u00e0 jour de s\u00e9curit\u00e9 critiques corrigeant deux vuln\u00e9rabilit\u00e9s majeures, r\u00e9f\u00e9renc\u00e9es sous les noms de CVE-2026-109618 et CVE-2026-109619 (commun\u00e9ment appel\u00e9es \u00ab php2shell \u00bb).<\/p>\n\n\n\n<p class=\"wp-block-paragraph translation-block\">Des d\u00e9tails techniques complets concernant ces failles, leur impact potentiel sur la s\u00e9curit\u00e9 et les solutions de contournement recommand\u00e9es peuvent \u00eatre trouv\u00e9s dans l'<a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noreferrer noopener\">annonce officielle de PHP.net<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Voici une analyse d\u00e9taill\u00e9e de ce que cet avis de s\u00e9curit\u00e9 implique pour votre infrastructure ITSM et comment s\u00e9curiser vos instances GLPI.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\ud83d\udd12 Quel est l'impact direct sur GLPI ?<\/h2>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Points cl\u00e9s \u00e0 retenir :<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li class=\"translation-block\"><strong>GLPI n'est pas directement affect\u00e9<\/strong>\u00a0: Le code source principal de GLPI ne contient pas ces failles de s\u00e9curit\u00e9.<\/li>\n\n\n\n<li class=\"translation-block\"><strong>Vos serveurs h\u00f4tes sont concern\u00e9s : GLPI s'ex\u00e9cutant sur un environnement PHP<\/strong>, tout serveur h\u00e9bergeant GLPI est vuln\u00e9rable tant que le moteur PHP du serveur n'a pas \u00e9t\u00e9 mis \u00e0 jour, <strong>quelle que soit la version de GLPI utilis\u00e9e.<\/strong><\/li>\n\n\n\n<li class=\"translation-block\"><strong>Mettre \u00e0 jour GLPI seule ne suffit pas :<\/strong> La mise \u00e0 jour doit imp\u00e9rativement porter sur l'environnement PHP de votre serveur.<\/li>\n<\/ul>\n<\/blockquote>\n\n\n\n<h2 class=\"wp-block-heading\">\u2601\ufe0f Vous utilisez GLPI Network Cloud ?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Aucune action n'est requise de votre part.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nos \u00e9quipes S\u00e9curit\u00e9 et Infra ont appliqu\u00e9 les correctifs sur l'ensemble de la plateforme d\u00e8s la publication de l'alerte. Depuis le 21 octobre 2026 \u00e0 14:00 UTC, toutes les instances GLPI Cloud s'ex\u00e9cutent sur une version corrig\u00e9e de PHP. Nos analyses n'ont r\u00e9v\u00e9l\u00e9 aucun signe d'exploitation.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\ud83c\udfe2 Vous h\u00e9bergez GLPI vous-m\u00eame (On-Premises) ?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Suivez ces \u00e9tapes d\u00e8s que possible pour s\u00e9curiser votre serveur web :<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li class=\"translation-block\"><strong>V\u00e9rifiez la version PHP active de votre serveur web\u00a0:<\/strong> Dans GLPI, acc\u00e9dez \u00e0 <strong>Configuration &gt; G\u00e9n\u00e9ral &gt; Syst\u00e8me<\/strong>. <em>(Remarque\u00a0: La commande en ligne de commande <code>php -v<\/code> v\u00e9rifie la version de l\u2019interface de ligne de commande, qui peut diff\u00e9rer du moteur PHP utilis\u00e9 par votre serveur web ou le service PHP-FPM).<\/em><\/li>\n\n\n\n<li><strong>Apply the PHP update based on your environment:<\/strong>\n<ul class=\"wp-block-list\">\n<li><strong>Official Source Packages:<\/strong>&nbsp;Refer to the official&nbsp;PHP.net announcement.<\/li>\n\n\n\n<li><strong>Linux Distribution Packages (Debian, Ubuntu, Red Hat, etc.):<\/strong>&nbsp;Follow your distribution's security advisories,&nbsp;as security fixes are often backported without incrementing the primary version number.<\/li>\n\n\n\n<li><strong>Containers and Managed Hosting:<\/strong>&nbsp;Deploy updated base images or follow your provider\u2019s security instructions.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li class=\"translation-block\"><strong>Red\u00e9marrez vos services web\u00a0:<\/strong>Red\u00e9marrez votre serveur web (Apache,\u00a0Nginx) ou\u00a0<strong>PHP-FPM<\/strong>\u00a0gestionnaire de pool pour charger les binaires PHP patch\u00e9s en m\u00e9moire.<\/li>\n\n\n\n<li class=\"translation-block\"><strong>Versions PHP non prises en charge (fin de vie)\u00a0<\/strong>: Les anciennes versions de PHP ne recevront plus les correctifs de s\u00e9curit\u00e9 des fournisseurs. Consultez la liste des versions PHP prises en charge. Avant de mettre \u00e0 niveau votre environnement d'ex\u00e9cution PHP vers une version majeure plus r\u00e9cente, v\u00e9rifiez la configuration syst\u00e8me requise dans la <a href=\"https:\/\/help.glpi-project.org\/documentation\" target=\"_blank\" rel=\"noreferrer noopener\">Documentation GLPI<\/a>.<\/li>\n<\/ol>\n\n\n\n<h2 class=\"wp-block-heading\">\u26a0\ufe0f Mesures temporaires et d\u00e9tection de compromission<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Si vous ne pouvez pas appliquer imm\u00e9diatement le patch PHP :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li class=\"translation-block\">Fiez-vous exclusivement aux sources officielles (bulletin PHP.net, avis de s\u00e9curit\u00e9 de votre distribution Linux ou de votre h\u00e9bergeur) pour appliquer d'\u00e9ventuels contournements temporaires.<\/li>\n\n\n\n<li>Pour v\u00e9rifier si un serveur a \u00e9t\u00e9 cibl\u00e9 ou compromis, appuyez-vous sur les indicateurs de compromission (IoC) fournis par votre \u00e9quipe SecOps ou votre fournisseur d'infrastructure.<\/li>\n\n\n\n<li>En cas de doute ou de suspicion d'intrusion, contactez imm\u00e9diatement votre \u00e9quipe S\u00e9curit\u00e9 Informatique.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Vous utilisez les images Docker officielles de GLPI<\/h2>\n\n\n\n<p class=\"wp-block-paragraph translation-block\">Nous avons reconstruit les images Docker officielles GLPI pour les versions\u00a0<code>main<\/code>,\u00a0<code>12<\/code>,\u00a0<code>11<\/code> et\u00a0<code>10<\/code>\u00a0: elles incluent d\u00e9sormais une version corrig\u00e9e de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph translation-block\">Pour appliquer cette mise \u00e0 jour, r\u00e9cup\u00e9rez la nouvelle image et recr\u00e9ez vos conteneurs, par exemple avec `<code>docker compose pull<\/code>` suivi de `<code>docker compose up -d<\/code>`. Red\u00e9marrer un conteneur existant ne suffit pas\u00a0: il continuera d\u2019utiliser l\u2019ancienne image. Vos donn\u00e9es restent en s\u00e9curit\u00e9 si elles sont stock\u00e9es dans des volumes, comme indiqu\u00e9 dans la configuration recommand\u00e9e.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\ud83d\udd17 Ressources utiles :<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li class=\"translation-block\">Lisez l'<a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noreferrer noopener\">Annonce officielle de s\u00e9curit\u00e9 PHP<\/a><\/li>\n\n\n\n<li class=\"translation-block\">Consultez le <a href=\"https:\/\/help.glpi-project.org\/faq\/glpi\/installation_update\" target=\"_blank\" rel=\"noreferrer noopener\">Guide officiel d'installation et de pr\u00e9requis de GLPI<\/a><\/li>\n\n\n\n<li class=\"translation-block\">Explorez les <a href=\"https:\/\/www.glpi-project.org\/fr\/pricing\/\" target=\"_blank\" rel=\"noreferrer noopener\">GLPI Network Cloud Services<\/a> pour une s\u00e9curit\u00e9 ITSM enti\u00e8rement g\u00e9r\u00e9e et sans tracas.<\/li>\n<\/ul>\n\n\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\">\n<div class=\"wp-block-button translation-block\">Lisez l'<a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noreferrer noopener\">Annonce officielle de s\u00e9curit\u00e9 PHP<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>On&nbsp;October 21, 2026, at 14:00 UTC,&nbsp;the PHP development team released critical security updates addressing two major vulnerabilities,&nbsp;tracked as&nbsp;CVE-2026-109618&nbsp;and&nbsp;CVE-2026-109619&nbsp;(commonly referred to as&nbsp;\"php2shell\"). Full technical details regarding these flaws,&nbsp;their potential security impact,&nbsp;and recommended workarounds can be found in the official&nbsp;PHP.net announcement. Here is a breakdown of what this security advisory means for your ITSM infrastructure and how [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":443462,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[153],"tags":[],"class_list":["post-443454","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-produits"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/posts\/443454","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/comments?post=443454"}],"version-history":[{"count":7,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/posts\/443454\/revisions"}],"predecessor-version":[{"id":443470,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/posts\/443454\/revisions\/443470"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/media\/443462"}],"wp:attachment":[{"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/media?parent=443454"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/categories?post=443454"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.glpi-project.org\/fr\/wp-json\/wp\/v2\/tags?post=443454"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}