FAQ
Questions fréquentes
Réponses courtes sur les fonctionnalités, les résultats et le traitement des données.
Que vérifie PHP Checker ?
PHP Checker analyse les indications de version PHP pour exactement deux failles de sécurité : CVE-2026-109618 et CVE-2026-109619. Lors du contrôle externe, le service interroge une seule fois l’adresse saisie et lit les en-têtes de réponse pertinents (X-Powered-By, Server). Vous pouvez aussi saisir vous-même une version ou une indication de paquet, ou confirmer la version réelle à l’aide d’un fichier de vérification. Toutes les méthodes appliquent les mêmes règles d’évaluation.
Quelles sont les deux failles prises en compte ?
CVE-2026-109618 (exécution de code après un arrêt pour mémoire insuffisante) et CVE-2026-109619 (exécution de code due à un état global obsolète dans les processus workers). Selon le projet PHP, les deux sont corrigées dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Détails et sources : Failles PHP.
La vérification peut-elle détecter si mon site est infecté ?
Non. Le service ne recherche pas d’infection et n’examine aucun fichier du serveur. C’est pourquoi le résultat indique toujours « Infection : non vérifiée ». Si vous soupçonnez une attaque, faites examiner le serveur par des spécialistes – une mise à jour ultérieure ne supprime pas un logiciel malveillant déjà installé.
Pourquoi ma version de PHP n’est-elle pas détectée ?
De nombreux sites ou services placés en amont (proxy, CDN, système de protection) masquent les indications de version. C’est courant et ne constitue pas en soi un problème de sécurité. Mais cela ne permet pas non plus de conclure quoi que ce soit sur la sécurité. Vous n’avez pas besoin de rendre la version publique : utilisez le fichier de vérification ou consultez la version PHP active dans le panneau de votre hébergeur.
Une indication de version à jour signifie-t-elle que tout mon site est sûr ?
Non. Une indication de version ne concerne que les versions examinées et ces deux CVE. Elle n’est pas vérifiée, ne confirme ni le paquet réellement installé ni tous les processus PHP en cours d’exécution, et n’exclut ni d’autres risques ni une compromission antérieure.
Que sont les rétroportages (backports) des fournisseurs ?
Les distributions Linux et les hébergeurs intègrent souvent des correctifs de sécurité dans d’anciennes versions de paquets sans modifier le numéro de version de PHP – on le reconnaît à une révision du fournisseur comme « 8.3.6-0ubuntu0.24.04.5 ». C’est alors le bulletin de sécurité du fournisseur pour cette version de paquet précise et les deux CVE qui fait foi. Sans cette preuve, le résultat est « Vérification auprès du fournisseur requise ».
Pourquoi la version de PHP peut-elle différer dans le terminal ?
Le serveur web, les pools PHP-FPM, les conteneurs et la ligne de commande peuvent utiliser des environnements PHP différents. php -v n’affiche que la version de la ligne de commande. La plus parlante est la version que le site exécute réellement – c’est précisément celle qu’indique le fichier de vérification.
Que faire si ma version est ancienne ?
Vérifiez avec votre hébergeur ou votre administrateur le niveau de paquet réellement utilisé. Faites installer une mise à jour confirmée, redémarrez les processus PHP concernés (par ex. PHP-FPM, Apache) et contrôlez ensuite à nouveau la version en cours d’exécution. En cas de soupçon d’attaque antérieure, un examen du serveur est également nécessaire.
Quelles données sont traitées pour la vérification ?
Lors du contrôle externe, votre navigateur envoie l’adresse saisie à notre serveur. Celui-ci interroge le DNS et appelle l’adresse une seule fois ; le site cible voit alors l’adresse IP de notre serveur, pas la vôtre. Le résultat est renvoyé uniquement à votre navigateur. Pour la protection contre les abus, nous conservons brièvement une clé pseudonymisée de votre adresse IP. L’analyse manuelle s’effectue entièrement dans votre navigateur. Pour plus de détails, consultez la politique de confidentialité.
Votre question n’y figure pas ? Contactez Denkcode.