En bref : sur les serveurs CloudLinux, les sites ne tournent souvent pas avec le PHP standard, mais avec alt-php, des paquets propres à chaque version de PHP que les clients choisissent via le PHP Selector. Contre PHP2Shell, l'exploitant du serveur doit mettre à jour séparément chaque version alt-php installée et redémarrer tous les processus PHP. En tant que client d'hébergement, vous clarifiez quelle version votre compte utilise et vous faites confirmer par écrit son état de correctifs.
Pourquoi CloudLinux soulève une question propre avec PHP2Shell
De nombreux hébergeurs mutualisés utilisent CloudLinux, un système d'exploitation Linux qui sépare les uns des autres des milliers de comptes clients sur un serveur. Pour les exploitants de sites, c'est le plus souvent invisible. Cela ne le devient que lorsqu'une faille apparaît dans l'interpréteur PHP lui-même, comme avec PHP2Shell et CVE-2026-109618 et CVE-2026-109619.
La raison : sur de tels serveurs, il y a souvent plusieurs sources PHP côte à côte. En plus du PHP du système d'exploitation et, avec cPanel, des paquets ea-php, il y a les paquets alt-php de CloudLinux. Chaque source a son propre état de paquet. Que l'une soit corrigée ne dit rien des autres.
Pour les agences et les entreprises ayant plusieurs comptes chez le même hébergeur s'ajoute un deuxième point : chaque site peut utiliser une autre version, parce que quelqu'un l'a changée il y a des années dans l'espace client. Une simple question sur « le PHP » de l'hébergeur est donc insuffisante. Une liste de tous les domaines avec la version choisie pour chacun est utile.
Ce que sont alt-php et le PHP Selector
Selon la documentation de CloudLinux, le PHP Selector met à disposition des versions alternatives de PHP, les paquets alt-php. Ils se trouvent sous /opt/alt/phpXX/, par exemple /opt/alt/php83/ pour PHP 8.3, chacun avec son propre php.ini. La documentation énumère des versions de 5.1 à 8.5, selon la version de CloudLinux du serveur.
Les clients choisissent eux-mêmes leur version, dans cPanel le plus souvent via « Select PHP Version ». Techniquement, cela suppose CageFS, une sorte de système de fichiers cloisonné par compte. Selon la documentation, le Selector fonctionne avec suPHP, mod_fcgid, CGI et LiteSpeed ; Apache avec mod_php ne prend pas en charge CageFS.
| Terme | Signification pour vous |
|---|---|
| CloudLinux | Système d'exploitation de l'hébergeur, sépare les comptes clients |
| CageFS | système de fichiers propre et cloisonné par compte |
| alt-php | paquets PHP de CloudLinux, un par version |
| PHP Selector | choix de la version alt-php et de certaines options dans l'espace client |
CloudLinux alt-php et PHP2Shell : ce qui est établi et ce qui reste ouvert
Est établi : les versions de PHP corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour PHP 8.1 et antérieur, le projet PHP ne fournit plus de mises à jour officielles, seulement des rétroportages minimaux du code source pour 7.4, 8.0 et 8.1. Selon la presse spécialisée, presque toutes les versions jusqu'à PHP 5.4 sont concernées.
Reste ouvert, dans les sources dont nous disposons, pour quelles versions alt-php CloudLinux livre déjà des paquets corrigés. Précisément pour les anciennes branches comme 5.6 ou 7.4, que le Selector continue de proposer, seule compte donc la déclaration du fournisseur. Des rétroportages peuvent être appliqués sans que le numéro de version affiché change.
Une particularité concerne les serveurs cPanel avec support à long terme commercial : selon la documentation de cPanel, TuxCare, une marque de CloudLinux, livre sous forme d'alt-php des paquets corrigés pour des versions de PHP arrivées en fin de vie. Qui y a été basculé d'ea-php74 vers alt-php74 dépend de cette voie. Plus de détails dans l'article Support à long terme pour les anciennes versions de PHP.
Les questions à poser dès maintenant à votre hébergeur
En tant que client, vous ne pouvez pas corriger alt-php vous-même. Vous pouvez en revanche poser les bonnes questions et documenter les réponses. Le guide Demander à l'hébergeur l'état des correctifs en propose un modèle prêt à l'emploi.
- Mon compte tourne-t-il avec alt-php, ea-php ou le PHP du système d'exploitation, et avec quelle version exactement ?
- Ce paquet précis est-il corrigé contre CVE-2026-109618 et CVE-2026-109619, et depuis quand ?
- Tous les processus PHP ont-ils été redémarrés ensuite, y compris les processus lsphp et php-cgi ?
- Les valeurs transitoires de php.net sont-elles définies de façon centralisée, en particulier
session.upload_progress.enabled=0? - Quelles versions alt-php ne sont plus corrigées, et jusqu'à quand dois-je changer ?
Vérifiez en parallèle quelle version votre compte utilise réellement. Si vous avez un accès SSH, php -v montre la version de la ligne de commande, qui peut différer de celle du site. L'affichage dans le PHP Selector pour le domaine concerné est plus fiable.
Si l'hébergeur répond que la version que vous avez choisie n'est plus corrigée, le passage à une branche prise en charge est la voie propre. Vérifiez au préalable dans la configuration requise de votre CMS ou de votre boutique quelles versions de PHP l'éditeur autorise, et testez le changement si possible sur une copie du site. Un basculement dans le Selector est vite fait, une erreur dans la boutique un lundi matin beaucoup moins.
Options PHP dans le Selector : prudence avec les valeurs transitoires
Le PHP Selector permet aux clients de modifier eux-mêmes certaines valeurs de php.ini, dont souvent memory_limit. Quelles valeurs sont autorisées, c'est, selon la documentation, l'exploitant qui le détermine, dans le fichier /etc/cl.selector/php.conf. Les valeurs globales pour toutes les versions alt-php figurent dans /etc/cl.selector/global_php.ini.
C'est important pour PHP2Shell. php.net recommande comme mesure transitoire de définir memory_limit=-1 de manière que les applications ne puissent pas écraser la valeur, et de ne pas définir session.upload_progress.enabled=0 via ini_set() ou .user.ini. Une valeur que chaque compte peut modifier librement ne remplit pas cette condition. Le contexte figure sous Mesures immédiates sans correctif.
Pour les exploitants de serveurs, il en résulte une courte liste de contrôle. Les commandes ne font que lire :
# Quelles versions de PHP le Selector propose-t-il, laquelle est la version par défaut ?
selectorctl --summary
# Paquets alt-php installés et leur état
rpm -qa 'alt-php*' | sort
# Les numéros CVE figurent-ils dans le changelog d'un paquet ? (nom de paquet à titre d'exemple)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Processus PHP en cours avec l'heure de démarrage, pour prouver le redémarrage
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Selon la documentation de CloudLinux, la mise à jour se fait avec yum groupupdate alt-php. Ensuite, tous les processus PHP doivent redémarrer, sinon l'ancien code continue de tourner en mémoire. Les valeurs transitoires qui ne doivent pas être écrasées relèvent de la configuration globale et non de la liste des options clients. La façon dont ea-php et alt-php se comportent l'un par rapport à l'autre sur les serveurs cPanel est décrite dans cPanel et WHM : sécuriser PHP.
Un correctif ne supprime pas un logiciel malveillant injecté auparavant. Si votre compte a tourné entre le 17 et le 21 octobre avec une version vulnérable, un coup d'œil aux nouveaux fichiers PHP et aux journaux d'accès à partir du 20 octobre s'impose.
Comment PHP SOS aide-t-il concrètement ?
- Clarifier l'état : nous déterminons avec quelle source et quelle version de PHP chacun de vos sites tourne, et formulons la demande à l'hébergeur.
- Évaluer la réponse : nous examinons la confirmation de l'hébergeur à la recherche de lacunes, par exemple des indications manquantes sur le redémarrage ou sur les anciennes branches alt-php.
- Accompagner le changement : si un site tourne sur une version sans correctif, nous planifions la migration et la testons au préalable.
- Pour les exploitants : via le service de correctifs PHP, nous mettons à jour les paquets alt-php, ea-php et système, redémarrons tous les processus et documentons l'état.
Questions fréquentes
Comment savoir si mon hébergeur utilise CloudLinux et alt-php ?
Un signe typique est la fonction « Select PHP Version » de l'espace client cPanel, qui permet de passer soi-même d'une version de PHP à une autre parmi de nombreuses. Vous n'en êtes sûr que lorsque l'hébergeur le confirme.
Puis-je mettre à jour alt-php moi-même dans mon compte ?
Non. Les paquets alt-php se trouvent de façon centralisée sur le serveur et sont entretenus par l'exploitant. Vous ne pouvez que choisir parmi les versions installées et devriez vous faire confirmer l'état des correctifs de la version choisie.
Une ancienne version alt-php comme 7.4 est-elle protégée contre PHP2Shell ?
On ne peut pas le dire sans déclaration du fournisseur. Selon la presse spécialisée, presque toutes les versions jusqu'à PHP 5.4 sont concernées, et le projet PHP ne fournit pas de mises à jour officielles pour 8.1 et antérieur. Qu'un rétroportage soit appliqué, l'hébergeur doit le confirmer par écrit pour précisément votre version.
Puis-je modifier moi-même memory_limit dans le PHP Selector ?
Techniquement, souvent oui, si l'exploitant a autorisé ce réglage. Comme mesure transitoire, php.net recommande toutefois de définir memory_limit de manière que les applications ne puissent pas écraser la valeur. Ne modifiez donc de telles valeurs qu'après accord avec l'hébergeur.