Le 21 octobre 2026, le projet PHP publie les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux vulnérabilités d’exécution de code à distance, référencées CVE-2026-109618 et CVE-2026-109619.

Surnommées « PHP2Shell », elles sont notées 9,2 sur l’échelle CVSS v4.0 et peuvent permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable.

Pour de nombreux administrateurs, la mise à jour est passée par Ondřej Surý.

Ce développeur tchèque n’a pas découvert les failles et n’a pas écrit le correctif initial. Son travail consiste à transformer le code source de PHP en paquets .deb installables sur Debian et Ubuntu, ce qui inclut la gestion des dépendances, des scripts d’installation, de la configuration et des mises à jour de sécurité.

Deux dépôts très utilisés

Ondřej Surý se présente comme le principal empaqueteur Debian de PHP et maintient les paquets publiés sous l’étiquette DEB.SURY.ORG. Il est l’un des mainteneurs des paquets PHP de Debian, avec l’équipe « Debian PHP Maintainers » et Lior Kaplan. Il exploite aussi deux canaux de distribution : packages.sury.org pour Debian et le PPA ondrej/php pour Ubuntu.

Ces dépôts permettent d’installer plusieurs versions de PHP sur une même machine et d’accéder à des versions plus récentes que celles des distributions stables. Ils servent aussi à rétroporter des correctifs vers des branches qui ne reçoivent plus de mises à jour officielles, comme PHP 7.4 ou 8.0.

Des backports pour les branches anciennes

Le projet PHP ne publie plus de correctifs officiels pour PHP 8.1 et les versions antérieures. Il a fourni des backports sources pour certaines branches anciennes. Ondřej Surý a repris ces correctifs, les a intégrés à ses paquets et les a publiés pour l’ensemble des branches qu’il maintient, de PHP 5.6 à 8.1.

Les administrateurs concernés n’ont ainsi pas eu à recompiler PHP ni à reconstruire leur environnement : une mise à jour APT standard suffit. Le changelog du paquet php8.4 8.4.27-1~deb13u1, attribué à Ondřej Surý, mentionne explicitement les deux CVE.

Cette dépendance a des limites. Certaines configurations très anciennes ne sont pas couvertes : PHP 7.2 sur Ubuntu 20.04, par exemple, reste figé dans son PPA et ne dispose pas de mise à jour par ce canal.

Ondřej Surý dirige l’ingénierie DNS à l’Internet Systems Consortium (ISC) et est associé au développement de BIND, serveur DNS open source. Il préside le groupe de travail DNS Operations (dnsop) de l’IETF et est auteur ou co-auteur de plusieurs RFC consacrées au DNS et à DNSSEC. Sur GitHub, il utilise le pseudonyme oerdnj.

Son activité de mainteneur PHP est bénévole et menée en parallèle de son poste à l’ISC.

Photo : © Internet Systems Consortium 

The post PGP2shell : Ondřej Surý, le mainteneur qui a acheminé les correctifs vers Debian et Ubuntu appeared first on Silicon.fr.

Chez moi, c'est un Mac mini qui gère à peu près tout depuis des mois. Il héberge mes projets de vibe coding, (pour ceux qui débarquent, on parle du développement où une IA écrit le gros du code pendant que je bois des chocolats chauds devant Rick et Morty), il fait tourner mes sessions de Claude, l'IA d'Anthropic, il pilote ma domotique, il surveille même mes NAS et mon Plex. Tout ça marche bien, je n'y touche presque jamais.

Sauf que voilà, il m'a fallu une seconde session de travail avec une autre instance de Claude/Codex, pour un projet qui n'avait rien à voir. J'ai d'abord pensé racheter un Mac mini. Et puis entre les prix qui ont gonflé et macOS qu'il aurait fallu piloter à distance en permanence, j'ai un peu baissé les bras.

GEEKOM m'a alors proposé de tester son A5 , un petit PC de la taille d'un Mac mini, 11,7 centimètres de côté pour 650 grammes, qu'on trouve autour de 500 euros avec trois ans de garantie. J'ai dit oui, forcément, même si je n'ai plus acheté de PC depuis 15 ans.

Dedans, il y a un Ryzen 7 7730U d'AMD avec huit cœurs, seize threads et une fréquence qui monte à 4,5 GHz, le tout dans 15 watts, donc ça chauffe vraiment très peu. Les 16 Go de mémoire DDR4 ne sont pas soudés, on peut aller jusqu'à 64 Go en ouvrant le boîtier, et ça, Apple ne vous laissera jamais le faire sur un Mac Mini.

Le SSD de 500 Go est déjà plus généreux que les 256 Go du Mac mini de base, et si ça ne suffit pas, il y a un deuxième emplacement M.2 et une baie pour un disque 2,5 pouces. En cumulant, on peut monter à 7 To.

Pour la connectique, j'ai de quoi voir venir, avec six ports USB dont deux USB-C, deux sorties HDMI qui gèrent jusqu'à quatre écrans 4K, du WiFi 6, du Bluetooth 5.4 et surtout un port Ethernet 2,5 gigabits, le seul que j'utilise vraiment vu que la machine discute toute la journée avec mes NAS, tout le monde à cette vitesse, ce qui est quand même bien sympathique.

La machine est livrée sous Windows 11, mais je lui ai installé un Ubuntu en version serveur. J'ai branché un écran une heure à tout casser, le temps de l'installation, de configurer le Bios pour qu'il redémarre tout seul en cas de panne de courant, et depuis je n'y touche plus qu'en SSH, la prise de contrôle à distance en ligne de commande. Et encore quand je dis "Je", ce sont mes IA et mes automatisations qui administrent la machine, et ça fonctionne, sans drame (j'ai BEAUCOUP de sauvegardes derrière, je vous conseille d'en avoir aussi si vous laissez l'IA administrer vos machines).

Le plus fou, et qui m'a vraiment surpris, c'est le silence. GEEKOM annonce autour de 28 décibels au repos et à peine plus en charge, et dans les faits je ne l'entends simplement jamais, alors qu'il est posé dans mon salon et qu'il tourne 24h/24. La consommation est ridicule aussi, environ un demi kilowattheure par jour.

Ce genre de machine peut servir à plein de choses, un petit serveur maison, Home Assistant pour la domotique, une médiathèque, des agents IA qui bossent la nuit, ou tout simplement un PC de bureau classique si vous le laissez sous Windows.

Et pour tout vous dire, sur cet usage serveur, il est même meilleur que mon Mac mini. Plus de bizarreries macOS, plus de mise à jour qui réclame une session ouverte, plus de réglage système qui se met en travers du chemin. Ubuntu fait ce qu'on lui demande et c'est vraiment très reposant.

Le circuit graphique Vega 8 intégré ne vous permettra pas de lancer GTA6 en 4K (en même temps il n'est toujours pas annoncé sur PC...), et il ne faut pas compter dessus pour faire tourner un gros modèle d'IA en local, mais pour du développement, du serveur et de la vidéo, c'est vraiment la machine idéale.

Si vous avez le même genre de besoin que moi, ou que vous avez envie d'expérimenter, vous pouvez y aller. L'A5 est en vente autour de 550 euros sur Amazon, dispo en cliquant ici .

Avec en plus un petit code promo :
Prix habituel : 549 €
Prix après réduction : 494 € (10 % de réduction)
Code promo : KORBA527 (valable jusqu'au 30 octobre)