SENETECH https://senetech.eu/ Infrastructure, cybersécurité et transformation numérique Sun, 25 Oct 2026 05:11:54 +0000 fr-FR hourly 1 https://wordpress.org/?v=7.1.3 https://senetech.eu/wp-content/uploads/2024/06/cropped-1-32x32.png SENETECH https://senetech.eu/ 32 32 PHP2Shell : deux failles critiques dans PHP, ce qu’il faut faire maintenant https://senetech.eu/php2shell-failles-critiques-php-que-faire/ Sun, 25 Oct 2026 05:11:54 +0000 https://senetech.eu/?p=3379 CVE-2026-109618 et CVE-2026-109619 : deux failles critiques permettent d’exécuter du code à distance sur les serveurs PHP. Versions concernées, correctifs et mesures à prendre.

The post PHP2Shell : deux failles critiques dans PHP, ce qu’il faut faire maintenant appeared first on SENETECH.

]]> Article mis à jour le 24 octobre 2026.

Le 21 octobre 2026, le projet PHP a publié en urgence des versions correctives pour deux failles critiques, surnommées PHP2Shell : CVE-2026-109618 et CVE-2026-109619. Elles permettent à un attaquant non authentifié d’exécuter du code à distance sur un serveur qui fait tourner PHP. Si votre site, votre extranet ou votre application métier repose sur PHP (WordPress, Drupal, Laravel, Symfony, Prestashop…), vous êtes potentiellement concerné.

Que se passe-t-il ?

Les deux failles touchent le cœur de PHP, et non une application en particulier :

  • CVE-2026-109618 : lorsque PHP manque de mémoire pendant la préparation d’une requête, des données internes incomplètes peuvent ensuite être traitées comme valides, ce qui ouvre la voie à une exécution de code.
  • CVE-2026-109619 : un état interne lié à une requête peut survivre à la libération de sa mémoire et être réutilisé par une requête suivante traitée par le même processus.

Le projet PHP leur attribue un score CVSS v4 de 9,2 sur 10. Tous les modes d’exécution qui servent des requêtes web sont concernés : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est jugé le plus élevé avec mod_php, car l’attaque peut se déclencher avant même l’exécution du code de l’application.

Les failles sont-elles exploitées ?

Plusieurs acteurs de la sécurité (Amazon, Cloudflare, watchTowr) indiquent avoir observé des tentatives d’exploitation, dont certaines dès le 17 octobre, avant la publication officielle. Les constats ne sont pas tous alignés : au moment de son alerte, l’agence américaine CISA n’avait pas observé d’exploitation. Du code présenté comme un exploit circule aussi publiquement, sans être vérifié : ne l’exécutez pas, il peut contenir des logiciels malveillants. Dans tous les cas, le niveau de risque justifie d’agir sans attendre.

Quelles versions sont concernées ?

  • PHP 8.5 : corrigé en 8.5.12
  • PHP 8.4 : corrigé en 8.4.27
  • PHP 8.3 : corrigé en 8.3.36
  • PHP 8.2 : corrigé en 8.2.35
  • PHP 8.1, 8.0, 7.4 et antérieures : versions en fin de vie, sans version corrigée officielle. L’équipe sécurité de PHP a seulement publié des correctifs minimaux à compiler soi-même pour 7.4, 8.0 et 8.1, et certaines distributions ou éditeurs de support étendu proposent leurs propres correctifs.

Autrement dit, un serveur encore en PHP 8.1 ou plus ancien, chez un hébergeur mutualisé par exemple, reste exposé tant qu’il n’est pas migré vers une version supportée ou corrigé par son fournisseur.

Que faire, concrètement ?

  1. Vérifiez votre version de PHP. Sur un serveur : php -v. Sur WordPress : Outils → Santé du site → Informations → Serveur. Chez un hébergeur : votre espace client.
  2. Mettez à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou plus récent), via les paquets de votre distribution ou votre hébergeur. C’est la seule correction complète.
  3. Redémarrez tous les processus PHP (PHP-FPM, Apache) après la mise à jour, pour que la nouvelle version soit réellement utilisée.
  4. Si vous êtes en PHP 8.1 ou plus ancien, planifiez la migration vers une version supportée : c’est l’occasion de sortir d’une version qui ne reçoit plus de correctifs. En attendant, demandez à votre hébergeur s’il applique un correctif.
  5. N’oubliez pas les logiciels qui embarquent leur propre PHP (panneaux d’administration, appliances, outils internes) : vérifiez auprès de chaque éditeur.

Et si la mise à jour est impossible tout de suite ?

Le projet PHP propose des mesures temporaires qui réduisent l’exposition sans rendre l’installation sûre. Elles doivent être appliquées dans la configuration serveur (php.ini ou pool PHP-FPM), puis suivies d’un redémarrage des processus PHP :

  • désactiver le suivi de progression des uploads : session.upload_progress.enabled = 0 ;
  • limiter la taille des requêtes (post_max_size) et imposer des limites au niveau du serveur web ou du proxy ;
  • sur PHP 8.5, définir fatal_error_backtraces = 0.

D’autres réglages sont décrits dans l’avis officiel, avec des précautions importantes : appliquez-les en connaissance de cause, idéalement avec un administrateur système. Si un site exposé sur Internet ne peut pas être corrigé, le CERT-EU recommande de l’isoler en attendant.

Une troisième faille à surveiller

Le 23 octobre, PHP a signalé une autre faille, CVE-2026-115560, liée elle aussi au suivi de progression des uploads de session. Elle ne concerne que des configurations particulières et sera corrigée dans la prochaine version régulière. La mesure session.upload_progress.enabled = 0 la neutralise également.

En résumé

Vérifiez votre version de PHP aujourd’hui, mettez à jour, redémarrez, et profitez-en pour faire le point sur les serveurs encore en version non supportée. Une politique de mises à jour régulière et automatisée reste la meilleure protection contre ce type d’alerte.

Besoin d’aide pour identifier vos serveurs exposés, mettre à jour PHP ou migrer depuis une version obsolète ? Contactez-nous ou écrivez à contact@senetech.eu.

Sources

The post PHP2Shell : deux failles critiques dans PHP, ce qu’il faut faire maintenant appeared first on SENETECH.

]]> Sécuriser sa pipeline CI/CD : 7 bonnes pratiques DevSecOps https://senetech.eu/securiser-pipeline-ci-cd-bonnes-pratiques-devsecops/ Sat, 24 Oct 2026 19:59:36 +0000 https://senetech.eu/?p=3361 Secrets, analyse du code, images Docker, droits Kubernetes : 7 bonnes pratiques DevSecOps pour sécuriser votre pipeline CI/CD, avec des exemples GitLab CI.

The post Sécuriser sa pipeline CI/CD : 7 bonnes pratiques DevSecOps appeared first on SENETECH.

]]> Une pipeline CI/CD automatise la construction, les tests et le déploiement de vos applications. C’est un gain de temps considérable… mais aussi une cible de choix : elle a accès à votre code, à vos secrets et à votre production. Voici 7 bonnes pratiques DevSecOps pour la sécuriser, avec des exemples concrets sur GitLab CI et Kubernetes.

1. Ne jamais stocker de secrets dans le code

Mots de passe, clés d’API, jetons d’accès : rien de tout cela ne doit apparaître dans le dépôt Git, même dans un fichier de configuration « temporaire ». Dans GitLab, utilisez les variables CI/CD (Paramètres → CI/CD → Variables) en les marquant masquées (elles n’apparaissent pas dans les journaux) et protégées (elles ne sont disponibles que sur les branches protégées).

2. Analyser automatiquement le code (SAST)

L’analyse statique repère les failles classiques (injections, mauvaises pratiques cryptographiques…) à chaque modification, avant même la mise en production. GitLab fournit un modèle prêt à l’emploi à inclure dans votre fichier .gitlab-ci.yml.

3. Détecter les secrets oubliés

Malgré toutes les précautions, un secret finit parfois dans un commit. La détection de secrets analyse chaque modification et alerte immédiatement. Si un secret a fuité, considérez-le comme compromis : révoquez-le et remplacez-le, le supprimer de l’historique ne suffit pas.

4. Surveiller les dépendances

Une grande partie du code d’une application provient de bibliothèques externes. Analysez-les régulièrement pour repérer les versions vulnérables, avec les outils de votre édition de GitLab ou des outils open source comme Trivy ou OWASP Dependency-Check.

5. Scanner les images Docker avant de les déployer

Une image peut embarquer des paquets système obsolètes. Faites échouer la pipeline si une vulnérabilité critique est détectée :

stages:
  - test
  - build
  - scan
  - deploy

include:
  - template: Jobs/SAST.gitlab-ci.yml
  - template: Jobs/Secret-Detection.gitlab-ci.yml

scan_image:
  stage: scan
  image:
    name: aquasec/trivy:latest
    entrypoint: [""]
  variables:
    TRIVY_USERNAME: "$CI_REGISTRY_USER"
    TRIVY_PASSWORD: "$CI_REGISTRY_PASSWORD"
  script:
    - trivy image --exit-code 1 --severity HIGH,CRITICAL "$CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA"

6. Appliquer le principe du moindre privilège

Le compte utilisé par la pipeline pour déployer sur Kubernetes ne doit avoir accès qu’à ce dont il a besoin : un ServiceAccount dédié, limité à son namespace grâce à un Role plutôt qu’un ClusterRole. Côté GitLab, réservez les runners de déploiement aux branches protégées.

7. Contrôler et tracer chaque mise en production

Utilisez les environnements protégés de GitLab pour exiger une validation avant le déploiement en production, et déployez des images identifiées de façon unique (tag lié au commit ou empreinte sha256) plutôt que latest. Vous savez ainsi exactement ce qui tourne en production, et vous pouvez revenir en arrière rapidement.

En résumé

La sécurité n’est pas une étape finale : en l’intégrant dans la pipeline, chaque modification est vérifiée automatiquement, sans ralentir vos équipes. Ces pratiques sont accessibles à toutes les structures, de la TPE à la collectivité.

Vous souhaitez sécuriser vos pipelines CI/CD ou mettre en place une démarche DevSecOps ? Contactez-nous ou écrivez-nous à contact@senetech.eu.

The post Sécuriser sa pipeline CI/CD : 7 bonnes pratiques DevSecOps appeared first on SENETECH.

]]> Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec GitLab CI et Kubernetes https://senetech.eu/automatiser-le-deploiement-mettre-en-place-une-pipeline-ci-cd-avec-gitlab-ci-et-kubernetes/ Fri, 28 Jun 2024 16:14:59 +0000 https://senetech.eu/?p=3228 Configurez pas à pas une pipeline CI/CD avec GitLab CI et un runner sur Kubernetes, pour construire, tester et déployer automatiquement.

The post Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec GitLab CI et Kubernetes appeared first on SENETECH.

]]>

Introduction

GitLab CI est un outil puissant pour l’intégration continue et le déploiement continu (CI/CD). Cet article explique comment configurer une pipeline CI/CD avec GitLab CI et Kubernetes.

Pré-requis

  • Un cluster Kubernetes fonctionnel.
  • Un projet GitLab avec accès administrateur.

Étapes de Configuration

  1. Configurer un Runner GitLab

    • Créer un namespace pour GitLab Runner

      kubectl create namespace gitlab-runner

    • Déployer GitLab Runner via Helm

      helm repo add gitlab https://charts.gitlab.io helm repo update helm install --namespace gitlab-runner gitlab-runner gitlab/gitlab-runner

    • Récupérer le token du Runner

Accéder à Settings -> CI/CD -> Runners dans votre projet GitLab

Copier le token de l’enregistrement du runner

Enregistrer le Runner avec GitLab

kubectl exec -it -n gitlab-runner $(kubectl get pods -n gitlab-runner -l app=gitlab-runner -o jsonpath='{.items[0].metadata.name}') -- gitlab-runner register \ --non-interactive \ --url https://gitlab.com/ \ --registration-token <YOUR_REGISTRATION_TOKEN> \ --executor kubernetes \ --kubernetes-namespace gitlab-runner \ --description "GitLab Runner" \ --tag-list "k8s,docker" \ --run-untagged \ --locked=false

  1. Configurer le pipeline GitLab CI

    • Créer un fichier .gitlab-ci.yml dans votre projet
      yaml
       
      stages: - build - deploy build: stage: build script: - docker build -t registry.gitlab.com/your-namespace/your-project:latest . - docker push registry.gitlab.com/your-namespace/your-project:latest deploy: stage: deploy script: - kubectl apply -f k8s/deployment.yaml
       

  2. Configurer l’accès à Docker Registry

    • Ajouter des variables de CI/CD pour Docker registry dans GitLab

      • Accéder à Settings -> CI/CD -> Variables
      • Ajouter DOCKER_REGISTRY_USER et DOCKER_REGISTRY_PASSWORD
    • Modifier le .gitlab-ci.yml pour utiliser ces variables
      yaml
       
      build: stage: build script: - docker login -u $DOCKER_REGISTRY_USER -p $DOCKER_REGISTRY_PASSWORD registry.gitlab.com - docker build -t registry.gitlab.com/your-namespace/your-project:latest . - docker push registry.gitlab.com/your-namespace/your-project:latest

Conclusion

En suivant ces étapes, vous aurez configuré une pipeline CI/CD avec GitLab CI et Kubernetes, automatisant ainsi le déploiement de vos applications conteneurisées.

The post Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec GitLab CI et Kubernetes appeared first on SENETECH.

]]> Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec Jenkins et Kubernetes https://senetech.eu/automatiser-le-deploiement-mettre-en-place-une-pipeline-ci-cd-avec-jenkins-et-kubernetes/ Fri, 28 Jun 2024 15:52:48 +0000 https://senetech.eu/?p=3217 Mettez en place une pipeline CI/CD avec Jenkins et Kubernetes pour construire, tester et déployer vos applications automatiquement.

The post Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec Jenkins et Kubernetes appeared first on SENETECH.

]]>

Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec Jenkins et Kubernetes

Introduction

L’intégration continue et le déploiement continu (CI/CD) sont des pratiques essentielles pour des cycles de développement rapide et fiables. Cet article guide la mise en place d’une pipeline CI/CD utilisant Jenkins et Kubernetes.

Pré-requis

  • Un cluster Kubernetes fonctionnel.
  • Jenkins installé et configuré (soit localement, soit sur Kubernetes).

Étapes de Configuration

  1. Installer Jenkins sur Kubernetes

    • Créer un namespace pour Jenkins

       
      kubectl create namespace jenkins

    • Déployer Jenkins via Helm

      helm repo add jenkinsci https://charts.jenkins.io helm repo update helm install jenkins jenkinsci/jenkins --namespace jenkins

    • Récupérer le mot de passe initial

      kubectl exec --namespace jenkins -it svc/jenkins -c jenkins -- /bin/cat /run/secrets/chart-admin-password && echo

    • Accéder à Jenkins

      kubectl --namespace jenkins port-forward svc/jenkins 8080:8080

  2. Configurer Jenkins pour Kubernetes

    • Installer les plugins nécessaires

      • Kubernetes Plugin
      • Git Plugin
      • Pipeline Plugin

    • Configurer Jenkins avec le plugin Kubernetes

      • Accéder à Manage Jenkins -> Manage Plugins
      • Installer le plugin Kubernetes

    • Configurer le cloud Kubernetes dans Jenkins

      • Accéder àManage Jenkins -> Manage Nodes and Clouds -> Configure Clouds
      • Ajouter un nouveau cloud Kubernetes et configurer les détails du cluster

  3. Créer une Pipeline Jenkins

    • Créer un nouveau job de type Pipeline
    • Configurer le script Jenkinsfile
      groovy
       
      pipeline { agent { kubernetes { yaml """ apiVersion: v1 kind: Pod spec: containers: - name: jnlp image: jenkins/inbound-agent:latest args: ['\$(JENKINS_SECRET)', '\$(JENKINS_NAME)'] - name: docker image: docker:latest command: - cat tty: true """ } } stages { stage('Build') { steps { container('docker') { sh 'docker build -t myapp:latest .' } } } stage('Deploy') { steps { container('kubectl') { sh 'kubectl apply -f k8s/deployment.yaml' } } } } }

Conclusion

En suivant ces étapes, vous aurez configuré une pipeline CI/CD avec Jenkins et Kubernetes, automatisant ainsi le déploiement de vos applications conteneurisées.

The post Automatiser le Déploiement : Mettre en Place une Pipeline CI/CD avec Jenkins et Kubernetes appeared first on SENETECH.

]]> Guide Complet pour Installer et Configurer un Cluster Kubernetes avec kubeadm https://senetech.eu/guide-complet-pour-installer-et-configurer-un-cluster-kubernetes-avec-kubeadm/ Fri, 28 Jun 2024 11:12:13 +0000 https://senetech.eu/?p=3206 Guide complet pour installer et configurer un cluster Kubernetes avec kubeadm : prérequis, installation et configuration, étape par étape.

The post Guide Complet pour Installer et Configurer un Cluster Kubernetes avec kubeadm appeared first on SENETECH.

]]>

Introduction

Kubernetes est devenu la norme pour l’orchestration des conteneurs dans le monde du développement logiciel. Cet article fournit un guide détaillé pour installer et configurer un cluster Kubernetes en utilisant kubeadm, un outil officiel de Kubernetes.

Pré-requis

  • Trois machines (ou VMs) avec une distribution Linux (Ubuntu 20.04 LTS recommandée).
  • Accès root sur toutes les machines.
  • Connexion réseau entre les machines.

Étapes de l’installation

  1. Préparation des Machines

    • Mettre à jour les paquets

       
      sudo apt update && sudo apt upgrade -y

       

    • Désactiver le swap

      bash
      sudo swapoff -a
      sudo sed -i '/ swap / s/^\(.*\)$/#\1/g' /etc/fstab

       

    • Configurer le kernel

      bash
      cat <<EOF | sudo tee /etc/modules-load.d/k8s.conf
      br_netfilter
      EOF

       

      bash
      cat <<EOF | sudo tee /etc/sysctl.d/k8s.conf
      net.bridge.bridge-nf-call-ip6tables = 1
      net.bridge.bridge-nf-call-iptables = 1
      EOF
      sudo sysctl --system

       

  2. Installation de Docker

    • Installer les dépendances

      bash
      sudo apt-get install -y apt-transport-https ca-certificates curl software-properties-common

       

    • Ajouter le GPG key et repository Docker

      bash
      curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
      sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"

       

    • Installer Docker

      bash
      sudo apt update
      sudo apt install -y docker-ce docker-ce-cli containerd.io

       

    • Configurer Docker pour Kubernetes

      bash
      cat <<EOF | sudo tee /etc/docker/daemon.json
      {
      "exec-opts": ["native.cgroupdriver=systemd"],
      "log-driver": "json-file",
      "log-opts": {
      "max-size": "100m"
      },
      "storage-driver": "overlay2"
      }
      EOF
      sudo systemctl enable docker
      sudo systemctl daemon-reload
      sudo systemctl restart docker

       

  3. Installation de kubeadm, kubelet et kubectl

    • Ajouter le GPG key et repository Kubernetes

      curl -s https://packages.cloud.google.com/apt/doc/apt-key.gpg | sudo apt-key add -
      sudo apt-add-repository "deb http://apt.kubernetes.io/ kubernetes-xenial main"

       

    • Installer les paquets Kubernetes

      sudo apt update
      sudo apt install -y kubelet kubeadm kubectl
      sudo apt-mark hold kubelet kubeadm kubectl
       

  4. Initialisation du Cluster

    • Sur le master node

      sudo kubeadm init --pod-network-cidr=10.244.0.0/16
       

    • Configurer kubectl pour l’utilisateur non-root

       
      mkdir -p $HOME/.kube
      sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
      sudo chown $(id -u):$(id -g) $HOME/.kube/config
       

    • Déployer un plugin de réseau

       
      kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml
       

  5. Ajout de nœuds au Cluster

    • Sur chaque nœud worker

       

       
      sudo kubeadm join <master-node-ip>:<master-node-port> --token <token> --discovery-token-ca-cert-hash sha256:<hash>

Conclusion

Vous avez maintenant un cluster Kubernetes fonctionnel installé et configuré avec kubeadm. Vous pouvez déployer vos applications conteneurisées et profiter des avantages de Kubernetes pour l’orchestration.

The post Guide Complet pour Installer et Configurer un Cluster Kubernetes avec kubeadm appeared first on SENETECH.

]]>