Deux vulnérabilités critiques de PHP ont incité des administrateurs et des organisations de plusieurs pays à examiner leurs serveurs et à appliquer rapidement les mises à jour. Certains sites ont été déconnectés temporairement pendant les opérations de correction ou de vérification. OpenAI propose désormais un outil Codex pour effectuer une première vérification de version.

terminal
skill-installer install both skills from https://github.com/openai/php2shell-checker
phpcheck-url check https://expasy.org/

L’outil s’utilise dans l’application ChatGPT pour ordinateur, en sélectionnant Codex dans le sélecteur situé en haut de l’interface. Une URL publique suffit, sans projet PHP ni accès au serveur. Les deux skills proviennent du dépôt GitHub officiel d’OpenAI, openai/php2shell-checker. Codex repère phpcheck-url et phpcheck-server, puis demande l’autorisation d’accéder à Internet et d’écrire les fichiers nécessaires dans son dossier de skills. L’installation ajoute des instructions et un petit script, pas PHP lui-même ni une application volumineuse.

phpcheck-url est destiné aux sites accessibles publiquement. L’exemple fourni utilise Expasy.org. Le checker commence par envoyer une requête HEAD. Si le serveur refuse cette méthode, il peut utiliser GET. Il consulte des en-têtes publics comme Server et X-Powered-By, sans télécharger ni analyser le contenu de la page. Aucune requête d’exploitation n’est envoyée.

Le test réalisé sur Expasy.org a renvoyé UNKNOWN. Le site ne révélait donc pas de version PHP identifiable. Ce résultat ne permet de conclure ni à une vulnérabilité ni à une protection effective. VULNERABLE indique que la version détectée se trouve dans la plage considérée comme affectée par le checker. OK signale une version supérieure à son seuil. UNKNOWN signifie que les informations disponibles ne permettent pas de trancher. Aucun de ces états ne constitue un audit complet. Même OK dépend de la version déclarée publiquement par le serveur.

Avec un accès au serveur, phpcheck-server vérifie d’abord la version PHP locale. Il la compare ensuite à l’installation PHP-FPM ou Apache qui sert réellement le site. Cette méthode est plus fiable qu’une simple lecture d’en-têtes depuis l’extérieur. OpenAI recommande néanmoins de contrôler le paquet installé et les avis du fournisseur, car certaines distributions rétroportent des correctifs sans modifier le numéro de version principal. Le checker fournit une première orientation, pas une preuve de compromission ou d’absence de compromission.