Vulnérabilités PHP « PHP2Shell » : mesures prises sur les services YPolice et YGRC hébergés par YPOK

Madame, Monsieur,

Ce message s'adresse aux clients dont le service YPolice ou YGRC est hébergé par Ypok (SaaS). Les clients qui hébergent YGRC sur leurs propres serveurs recevront un message dédié.

Ce qui s'est passé

Le 20 octobre 2026, l'équipe du langage PHP a annoncé deux vulnérabilités critiques, connues sous le nom de « PHP2Shell ». Elles peuvent permettre, dans certaines conditions, à un attaquant d'exécuter du code à distance sur un serveur web, sans identifiants. Les correctifs officiels ont été publiés le 21 octobre à 16 h (heure de Paris), et des éditeurs de sécurité ont signalé des tentatives d'exploitation dès le matin du 21 octobre. Références : alerte CERT-FR CERTFR-2026-ALE-014 et avis de sécurité PHP.

Ce que nous avons fait le 21 octobre (heure de Paris)

• YPolice : version corrigée de PHP installée entre 17 h 45 et 18 h 15, moins de deux heures et demie après la publication du correctif.
• YGRC 3.0 : mise à jour de sécurité publiée par l'équipe PHP pour cette version de PHP, installée entre 18 h 15 et 18 h 30.
• YGRC 2.4 : aucune mise à jour corrective de PHP n'étant disponible pour cette version, nous avons alors appliqué les mesures de protection recommandées sur les serveurs concernés. Nous avons désactivé une fonction de suivi des envois de fichiers visée par ces attaques. Chaque demande adressée au serveur est désormais traitée par un processus neuf, qui ne conserve rien de la demande précédente. Ces mesures réduisent le risque sans le supprimer entièrement.
• Préconisation : la migration de YGRC 2.4 vers YGRC 3.0 est prévue et obligatoire. Nous vous informerons dès que cette migration sera réalisée.
• Contrôle : le 21 octobre en fin de journée et de nouveau le 22 octobre, nous avons contrôlé les serveurs concernés à la recherche des signes habituels d'une intrusion : fichiers ajoutés ou modifiés, processus, tâches planifiées et comptes inhabituels.

Impact pour vous

À ce jour, nos contrôles n'ont révélé aucun signe de compromission de nos serveurs, et aucune violation de données personnelles n'a été identifiée. En production, l'intervention n'a entraîné que de brèves relances des services, sans interruption signalée. Elle n'a modifié ni vos accès, ni vos données, ni vos paramétrages.

Ce que vous devez faire

Aucune action technique n'est requise de votre part. Si vous constatez un comportement inhabituel sur votre service, contactez notre support sur YService.

Suivi

Nous suivons régulièrement les mises à jour de sécurité publiées pour les logiciels qui composent nos services. Pour PHP2Shell, nous suivons l'évolution de la situation et les recommandations du CERT-FR, et nous vous informerons si un élément nouveau apparaissait.

Nous vous remercions de votre confiance.