GTB / GTC
PHP2Shell : la faille PHP qui se cache aussi dans vos supervisions GTB et vos passerelles
Quand on entend « faille PHP », on pense d’abord aux sites web. C’est vrai, mais c’est incomplet. Les deux failles critiques révélées le 21 octobre, surnommées « PHP2Shell », touchent tout ce qui sert des pages web avec PHP… y compris l’interface de votre supervision GTB, de vos passerelles de télérelève ou de votre NAS d’enregistrement vidéo. Et côté constructeurs, les correctifs arrivent au compte-gouttes : CONTEC a publié les siens le 30 octobre, d’autres se font attendre.
Les faits
- Les failles : CVE-2026-109618 et CVE-2026-109619, notées 9,2 (CVSS v4) par le projet PHP. Elles se situent dans le cœur de PHP, au début et à la fin du traitement d’une requête, avant même que le code de l’application ne s’exécute. Elles permettent l’exécution de code à distance sans authentification.
- Les versions corrigées : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les branches 8.1 et antérieures n’ont aucun correctif officiel : seul un rétroportage par le constructeur ou la distribution peut les protéger.
- L’exploitation : des preuves de concept sont publiques depuis le 22 octobre, et le CERT-FR signale des tentatives d’exploitation (alerte CERTFR-2026-ALE-014). Une troisième faille, CVE-2026-115560, a été ajoutée le 26 octobre, sans correctif à ce jour mais jugée difficile à exploiter.
Les équipements techniques sont concernés
Le CERT néerlandais (NCSC-NL) tient une liste publique des logiciels touchés. On y trouve des noms qui parlent aux intégrateurs :
| Constructeur | Produit | État signalé |
|---|---|---|
| Delta Controls | enteliWEB (supervision GTB) | Correctif : version 4.29 et plus avec le correctif SecB0015 |
| CONTEC | Contrôleurs et passerelles M2M CONPROSYS, automates PAC | Firmwares 4.2.0 et 3.1.0 publiés le 30/10 ; module de télémétrie CPS-TM341 attendu le 06/11 |
| QNAP | QVR Surveillance 3.0.3 et antérieures (ARM 32 bits), QTS, QuTS hero | Vulnérable, correctifs annoncés (relevé du 22/10) |
| Synology | Paquets PHP 7.4 à 8.4, Web Station | Corrigés ; le paquet PHP 7.3 reste vulnérable (fin de vie) |
| Netgate / OPNsense | pfSense, interface d’OPNsense | Corrigés |
| Check Point | Interfaces web Spark et Force | Vulnérables avec certaines fonctions de portail ou de VPN, correctif prévu le 11/11 |
La liste n’est pas exhaustive, et c’est bien là le problème. Beaucoup de passerelles BACnet ou Modbus, d’écrans tactiles de régulation ou de serveurs de supervision embarquent un petit serveur web avec PHP, sans que la documentation le dise. Siemens, de son côté, met à jour sa propre liste de produits concernés ou non (avis SSA-566435, version du 30 octobre).
Ce que je vérifierais sur un site
- L’inventaire : quels équipements techniques ont une interface web ? Le constructeur a-t-il publié un avis PHP2Shell ? Pas d’avis ne veut pas dire pas concerné : il faut poser la question.
- L’exposition : aucune interface de supervision, de passerelle ou de NVR ne doit être joignable directement depuis Internet. Les redirections de ports « pour la maintenance » sont à fermer, au profit d’un VPN ou d’une solution d’accès distant maîtrisée.
- Les mises à jour : appliquer les firmwares disponibles, en planifiant l’intervention avec l’exploitant, car on ne redémarre pas une supervision GTB en pleine journée sans prévenir.
- En attendant : filtrer les adresses sources autorisées sur le pare-feu en amont, voire déconnecter temporairement l’accès distant, comme le recommande CONTEC.
Mon avis
Ce qui m’enthousiasme, c’est la réactivité de certains : CONTEC publie un tableau clair, produit par produit, avec des dates. Ce qui me fait tiquer, c’est tout le reste du parc. Une supervision GTB vit quinze ou vingt ans, souvent sur un serveur que personne n’ose toucher. Le PHP qui tourne dessous a parfois l’âge de l’installation, donc une branche sans correctif. C’est exactement ce que NIS2 nous pousse à regarder, au moment où le décret BACS multiplie justement ces supervisions : un réseau technique se maintient comme un réseau informatique. Si vous ne savez pas quelle version de PHP fait tourner l’écran de votre chaufferie, c’est le moment de le demander à votre mainteneur 🙂
Sources
- CERT-FR – Alerte CERTFR-2026-ALE-014 : multiples vulnérabilités dans PHP (21/10/2026, mise à jour le 27/10/2026)
- CONTEC – Avis sur les vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619 (mis à jour le 30/10/2026)
- NCSC-NL – Liste des logiciels concernés par PHP2Shell
- Siemens – Avis SSA-566435 (version 1.4 du 30/10/2026)
- StackHarbor – PHP2Shell : what we know (mis à jour le 30/10/2026)
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.