PHP2Shell : état des produits et services beroNet

Mis à jour le 6 novembre 2026 : le firmware 24.01.03 des passerelles avec le correctif est disponible.

Le 21 octobre 2026, deux vulnérabilités critiques du langage de script PHP ont été publiées, connues sous le nom de PHP2Shell (CVE-2026-109618 et CVE-2026-109619, avis de sécurité PHP GHSA-w8hw-w9fx-j79w). Une requête HTTP spécialement construite peut provoquer un manque de mémoire dans PHP et, dans certaines configurations, exécuter du code sur le serveur sans authentification. Ces failles sont activement exploitées, et le BSI (office fédéral allemand de la sécurité informatique) a émis une alerte.

PHP est utilisé par le site web de beroNet, par la beroCloud et par l’interface web de nos passerelles. Cette page présente ce que nous avons fait, où nous en sommes et ce que nous vous recommandons.

En bref

Domaine	État
Site web www.beronet.com	Terminé. Migré le 21 octobre vers une plateforme sans PHP
beroCloud	Terminé. Migrée le 22 octobre vers une nouvelle plateforme corrigée
beroNet vSBC (systèmes exploités par beroNet)	Terminé. PHP corrigé installé le 21 octobre
Passerelles beroNet	Mise à jour disponible. Firmware 24.01.03, publié le 6 novembre. Les passerelles en version plus ancienne doivent passer en 24.01

Site web : migration et mise à niveau

Notre ancien site fonctionnait sous WordPress avec une version de PHP qui ne recevra plus de correctif. Le 21 octobre, nous avons désactivé PHP sur ce serveur puis, le soir même, migré www.beronet.com vers sa nouvelle plateforme : un site statique diffusé par un réseau de diffusion de contenu (CDN). Le nouveau site ne fait tourner ni PHP, ni base de données, ni aucun code côté serveur. L’ancien serveur a été retiré d’Internet.

Les images de firmware, les outils et les fiches techniques restent disponibles aux adresses habituelles : les passerelles qui téléchargent des mises à jour ou des fichiers de récupération depuis notre serveur fonctionnent comme avant.

beroCloud : migration et mise à niveau

La migration de la beroCloud vers une nouvelle plateforme était prévue et préparée pour novembre. En raison de PHP2Shell, nous l’avons avancée : dans la nuit du 21 au 22 octobre 2026, la beroCloud a été migrée vers un nouveau serveur dans un centre de données en Allemagne, avec un système d’exploitation à jour et une version de PHP qui contient le correctif. L’interruption a duré environ 25 minutes.

Aucune action n’est nécessaire sur vos passerelles. Elles ont retrouvé la beroCloud à la même adresse automatiquement ; identifiants, équipements, configurations et sauvegardes sont inchangés.
PHP sur l’ancien système est bloqué depuis la nuit de la migration et n’est plus accessible depuis Internet. Notre examen de l’ancien système n’a révélé aucun signe de compromission.
Sur quelques passerelles, l’ancienne adresse du serveur est saisie manuellement. Nous contactons directement les clients concernés.

beroNet vSBC

Sur les systèmes exploités par beroNet, le SBC virtuel est passé à la version corrigée de PHP le 21 octobre, et les nouvelles images d’installation l’intègrent. Si vous exploitez un vSBC sur votre propre machine virtuelle, installez les mises à jour actuelles du système d’exploitation (sous Ubuntu : apt update && apt upgrade), qui contiennent les paquets PHP corrigés.

Passerelles beroNet : pas menacées par le scénario d’attaque connu

L’interface web de nos passerelles utilise elle aussi PHP, dans une version plus ancienne qui ne reçoit plus de mises à jour du projet PHP. Nous avons donc corrigé le problème dans notre propre firmware (voir la section suivante). Selon notre analyse à ce jour, les passerelles installées selon nos recommandations ne sont pas menacées par le scénario d’attaque connu aujourd’hui, pour les raisons suivantes :

Un autre mode de fonctionnement de PHP. Sur les passerelles, PHP fonctionne en CGI : chaque requête lance un processus neuf et éphémère, qui se termine avec la requête. L’exploit confirmé dans l’avis vise un autre mode (Apache mod_php), dans lequel les processus PHP traitent de nombreuses requêtes à la suite. L’avis ne mentionne aucun exploit contre CGI, et nous n’en connaissons pas.
Une attaque difficile. L’avis lui-même classe la complexité de l’attaque comme élevée. Un attaquant a besoin d’un accès direct à l’interface web de la passerelle et de nombreuses tentatives.
L’interface web n’a pas vocation à être exposée sur Internet. Les passerelles sont normalement installées dans le réseau interne ou le réseau d’administration, derrière un pare-feu. Une interface web inaccessible depuis Internet ne peut pas être attaquée depuis Internet.
Aucun incident connu. Nous n’avons connaissance d’aucune attaque contre des passerelles beroNet via PHP2Shell.

Cette évaluation vaut pour les passerelles dont l’interface web n’est pas accessible depuis Internet. Si la vôtre l’est, appliquez dès maintenant les recommandations ci-dessous et installez le firmware 24.01.03. Une interface web sur Internet est de toute façon une mauvaise idée, avec ou sans PHP2Shell : une passerelle est un équipement embarqué, et une machine bien plus puissante peut facilement la surcharger par un afflux de requêtes (DDoS) et la mettre hors service.

Mise à jour de sécurité des passerelles : firmware 24.01.03

Le 6 novembre 2026, nous avons publié le firmware 24.01.03 pour nos passerelles. Il ferme la faille PHP2Shell sur les passerelles et corrige d’autres problèmes de sécurité de l’interface web et de la connexion à la beroCloud. Nous recommandons cette mise à jour pour toutes les passerelles.

La mise à jour :

termine immédiatement et proprement une requête en cas de manque de mémoire, au lieu de continuer avec une mémoire endommagée. C’est la même approche que celle du correctif officiel de PHP.
n’accepte les téléversements de fichiers que d’utilisateurs connectés et impose des limites strictes à la taille et à la structure des requêtes, de sorte que les requêtes trop volumineuses ou malformées sont rejetées avant d’être traitées par PHP.
exige une authentification pour d’autres parties de l’interface web et renforce le serveur web et la connexion à la beroCloud.

Comment mettre à jour :

Téléchargement : appfs-24.01.03.tar.gz
Notes de version avec toutes les modifications et les consignes de mise à jour (en anglais) : Changelog beroNet OS (Gateways)
Les passerelles en 24.01.01 ou 24.01.02 se mettent à jour directement, via la mise à jour du firmware dans l’interface web ou via la beroCloud. La configuration est conservée ; la passerelle redémarre une fois.
Il n’existe pas de correctif séparé pour les versions plus anciennes (20.x, 21.x, 23.x). Ces passerelles doivent être mises à jour en 24.01. Suivez les consignes sur le chemin de mise à jour dans les notes de version, ou contactez notre support.
Si vous utilisez des applications complémentaires qui fournissent leurs propres scripts shell comme pages web, contactez notre support avant la mise à jour (voir les notes de version).
Vérifiez le fuseau horaire après une mise à jour depuis la 23.01 ou plus ancienne. Le fuseau horaire configuré peut être perdu et la passerelle fonctionne alors en UTC (heures dans les journaux, les CDR et le CLIP ; le routage horaire n’est pas concerné). Sous Preferences > Time Settings, choisissez le fuseau horaire et le mode (Timezone Mode), enregistrez et activez ; le réglage est ensuite conservé. Avec une heure manuelle (décalage GMT), sans source d’heure ou avec l’heure via RNIS, cela ne tient pas ; passez au réglage par fuseau horaire. Une correction suivra avec l’une des prochaines mises à jour.

Ce que nous vous recommandons dès maintenant

Indépendamment de PHP2Shell, ces mesures sont de bonnes pratiques pour tout équipement réseau :

N’exposez pas l’interface web (HTTP/HTTPS) ni SSH sur Internet. Supprimez toute redirection de port ou règle de pare-feu qui rend la passerelle accessible depuis l’extérieur.
Pour l’accès à distance, utilisez un VPN ou une règle de pare-feu n’autorisant que des adresses source connues. Pour la supervision, les mises à jour et la configuration, vous pouvez utiliser la beroCloud : l’équipement n’ouvre qu’une connexion sortante, aucun port entrant n’est nécessaire.
Placez l’interface d’administration dans un réseau séparé (VLAN d’administration), accessible uniquement aux personnes qui gèrent l’équipement.
Utilisez des mots de passe forts et uniques pour tous les comptes de l’équipement et changez les mots de passe par défaut.
Installez le firmware 24.01.03. Les passerelles gérées via la beroCloud peuvent être mises à jour depuis celle-ci.

Questions et signalements

Pour toute question sur votre installation, contactez notre support. Les signalements de sécurité sont à adresser à security@beronet.com.