Les correctifs php2shell sont désormais disponibles pour les versions de PHP allant de la 5.2 à la 8.5

ELS pour PHP fait partie de la solution ELS for Runtimes, qui couvre PHP et tous les autres environnements d'exécution. Tarifs :

• Jusqu'à 10 licences : 5 000 $ par an.
• De 11 à 100 licences : 9 750 $ par an.

Abonnement annuel, payable d'avance, sans frais d'inscription.

Acheter en ligne : https://tuxcare.com/buy/els/?family=rt

Non. TuxCare ne propose ni licence individuelle ni abonnement mensuel. L'offre la plus basique comprend jusqu'à 10 licences pour 5 000 dollars par an.

Acheter en ligne : https://tuxcare.com/buy/els/?family=rt

Oui. La licence s'applique par serveur. Elle couvre toutes les versions de PHP prises en charge sur ce serveur (par exemple, les versions 7.0, 7.1, 7.2 et 7.3) ainsi que tous les domaines qui y sont hébergés.

Oui, pour les versions de PHP autres que celles fournies par le système. ELS pour CentOS 6 ou 7 ne donne pas accès au dépôt alt-php. Les versions alt-php nécessitent une licence ELS for Runtimes prenant en charge toutes les différentes versions de PHP, comme PHP 7.

Les paquets PHP natifs du système d'exploitation (par exemple, CentOS 7 php-5.4.16) obtenir des correctifs via ELS pour le système d'exploitation.

Acheter : https://tuxcare.com/buy/els/?family=rt (sélectionnez « ELS » dans la rubrique « Runtimes » ; PHP est inclus). Un e-mail de bienvenue vous enverra la clé de licence et les instructions d'installation.

Installation : suivez les instructions disponibles à l'adresse https://docs.tuxcare.com/els-for-runtimes/php/ (s'ouvre dans un nouvel onglet)

Erreurs d'installation (par exemple « Aucun jeton n'a été renvoyé par CLN ») : ouvrez un ticket d'assistance sur https://support.tuxcare.com/hc/en-us/requests/new (s'ouvre dans un nouvel onglet). Indiquez le système d'exploitation, la version de PHP, le texte exact de l'erreur et l'identifiant de votre clé de licence.

Achat en ligne : la clé de licence est envoyée par e-mail de bienvenue immédiatement après l'achat.

Commande : le paiement s'effectue à l'avance. La clé de licence est envoyée une fois le paiement validé.

L'installation s'effectue via le gestionnaire de paquets et ne nécessite aucun temps d'arrêt.

Nous ne proposons pas de licences d'essai pour le moment.

Japon : Cybertrust (https://www.cybertrust.co.jp/ (s'ouvre dans un nouvel onglet)) propose un achat local, des tarifs locaux et une assistance en japonais.

Corée du Sud : CUDO Communication (https://www.cudo.co.kr/ (s'ouvre dans un nouvel onglet))

Oui. L'équipe d'ingénierie a réintroduit ces correctifs dans toutes les branches « alt-php » : 5.2 à 5.6, 7.0 à 7.4 et 8.0 à 8.5.

En amont, PHP n'a corrigé que les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Pour les branches plus anciennes, le correctif provient de TuxCare.

Les versions PHP 8.1 et antérieures n'ont pas fait l'objet d'une publication officielle de la part du projet PHP. L'équipe de sécurité de PHP a publié des rétroportages minimaux du code source pour les versions 7.4, 8.0 et 8.1. La fin de vie de PHP 8.2 est prévue le 31 décembre 2026.

Une version stable conserve l'ancienne version de PHP et se voit attribuer un nouveau numéro de version. Exemple : alt-php74 reste à la version 7.4.33 et passe de la version -79 à la version -81 sur EL7.

Pour vérifier une branche et un système d'exploitation, utilisez le suivi CVE : CVE-2026-109618 et CVE-2026-109619

Sur les plateformes ELS pour systèmes d'exploitation, les paquets PHP natifs du système d'exploitation ont également bénéficié de ce correctif. Exemples : Ubuntu 16.04/18.04/20.04, Debian 10/11, CentOS 6/7/8, RHEL 7, Amazon Linux 2.

L'avis de sécurité de PHP cite PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. C'est Apache mod_php qui présente le risque le plus élevé. PHP-FPM, LiteSpeed et FrankenPHP sont concernés dans certaines configurations. PHP précise que la mise à jour est la seule solution complète.

Nous prenons en charge les versions de PHP allant de la 5.2 à la 8.5. Les versions de PHP disponibles dépendent du système d'exploitation :

Linux

• EL6 (CentOS 6, Oracle Linux 6, CloudLinux 6) : PHP 5.2–5.6, 7.0–7.4, 8.0–8.3
• EL7 (CentOS 7, RHEL 7, Oracle Linux 7, Amazon Linux 2, CloudLinux 7) : PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL8 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS 8, CentOS Stream 8, CloudLinux) : PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL9 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS Stream 9, CloudLinux) : PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL10 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CloudLinux) : PHP 5.3–5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 16.04 : PHP 5.5, 5.6, 7.0 à 7.4, 8.0 à 8.3
• Ubuntu 18.04, 20.04, 22.04, 24.04 : PHP 5.2, 5.6, 7.0 à 7.4, 8.0 à 8.5
• Ubuntu 26.04 : PHP 5.6, 7.0 à 7.4, 8.0 à 8.5
• Debian 10, 11, 12 : PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 13 : PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• Alpine Linux 3.23, 3.24 : PHP 7.3, 7.4, 8.0, 8.1

Fenêtres

• Windows Server 2019, 2022, 2025 (x64 et x86) : PHP 5.2, 5.4, 5.6, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2

Windows Server 2016 et les versions antérieures ne figurent pas dans cette liste, pas plus que les versions PHP 5.3, 5.5, 7.0 et 7.1 pour Windows.

Tableau complet : https://docs.tuxcare.com/els-for-runtimes/php/#about-alt-php (s'ouvre dans un nouvel onglet)

Architecture : x86_64 sur tous les systèmes Linux. arm64 sur Debian 12 et 13 ainsi que sur Alpine Linux. D'autres versions et architectures sont disponibles sur demande.

Systèmes d'exploitation en fin de vie : CentOS 6, 7 et 8, CentOS Stream 8, RHEL 7, Oracle Linux 6 et 7, Amazon Linux 2, Ubuntu 16.04, 18.04 et 20.04, ainsi que Debian 10 et 11 sont en fin de vie. ELS pour PHP ne corrige que les failles de PHP. Pour bénéficier des correctifs de sécurité du système d'exploitation lui-même, achetez également ELS pour le système d'exploitation : https://tuxcare.com/buy/els/ (liste des systèmes d'exploitation : https://docs.tuxcare.com/els-for-os/ (s'ouvre dans un nouvel onglet)). Une même commande peut inclure les deux produits.

Non pris en charge : Amazon Linux 1, CentOS 5, Debian 9, SUSE et CentOS 6 32 bits.

Amazon Linux 2023 ne figure pas dans la liste des systèmes d'exploitation pris en charge par ELS pour PHP. Il n'est pas prévu dans la feuille de route d'ELS à l'heure actuelle, mais TuxCare prévoit de l'y ajouter si la demande est suffisante. Le support d'Amazon Linux 2023 prendra fin en juin 2029.

ELS for Runtimes prend en charge les versions de PHP allant de la 5.2 à la 8.5 et inclut une assistance technique disponible 24 h/24 et 7 j/7. Cette assistance est illimitée. Nous n'avons pas l'intention de retirer aucune de ces versions de PHP au cours des prochaines années.

TuxCare met tout en œuvre, dans la mesure où cela est commercialement raisonnable, pour fournir des correctifs dans les délais suivants, calculés à compter de la date à laquelle une vulnérabilité a été rendue publique :

• Risques critiques et élevés (CVSS 7.0 et plus) : dans un délai de 14 jours
• Risque moyen (CVSS 4,0 à 6,9) : dans un délai de 60 jours
• Risque faible (CVSS de 0,1 à 3,9) : dans un délai de 90 jours

Nous avons publié des correctifs pour ces deux vulnérabilités critiques (CVE) le jour même. Conditions complètes : https://docs.tuxcare.com/els-for-runtimes/ (s'ouvre dans un nouvel onglet)

Il s'installe à côté de votre version actuelle de PHP. ELS pour PHP installe ses propres versions (alt-php) provenant du dépôt TuxCare dans /opt/alt/phpXY. Ces versions fonctionnent indépendamment du PHP système, de Remi, de Sury, de Webtatic, d'IUS, d'ea-php, du PHP de Plesk ou d'une version personnalisée.

Vous migrez les sites vers alt-php un par un. Pour revenir en arrière, remettez le site sur l'ancienne version de PHP.

L'installation s'effectue via le gestionnaire de paquets et ne nécessite aucun temps d'arrêt.

TuxCare n'applique pas de correctifs aux versions d'Amazon ni au PHP compilé par vos soins. Vous devez déplacer le site vers la version « alt-php » de la même branche.

Dans cPanel, le passage de ea-php73 à alt-php73 Il s'agit d'une sélection de la version PHP par compte. Testez d'abord sur un compte ou sur une copie de préproduction.

Oui, cela fonctionne avec cPanel, avec Plesk et sans panneau de contrôle.

Pas de panneau de configuration / autres panneaux de configuration : une configuration Apache standard suffit. Aucun panneau de configuration n'est nécessaire. Nous ne pouvons pas fournir de détails sur chaque panneau de configuration ni sur les anciennes versions de ceux-ci.

cPanel : ELS for PHP fonctionne sous CentOS 7 avec cPanel/WHM 110. Installez les paquets, puis basculez les sites vers la version « alt-php » de la même branche. L'abonnement à TuxCare ELS for PHP disponible dans la boutique cPanel propose les mêmes correctifs.

Plesk : « alt-php » apparaît dans Plesk comme un gestionnaire PHP supplémentaire, à côté des versions PHP de Plesk. Vous ne pouvez modifier les paramètres que pour les sites que vous sélectionnez. L'extension PHP TuxCare pour Plesk nécessite Plesk 18.0.72 ou une version ultérieure.

Les extensions les plus courantes sont incluses. alt-php fournit les extensions sous forme de paquets distincts. Liste des extensions prises en charge : https://docs.tuxcare.com/els-for-runtimes/php/#supported-os-and-php-versions (s'ouvre dans un nouvel onglet)

Pour alt-php73 Sur cPanel, les modules ionCube, OPcache, memcached, GD, intl et les pilotes MySQL sont disponibles.

Pour obtenir une pile inhabituelle, envoyez-nous la sortie de php -v et php -m ainsi qu'une liste de vos modules PECL ou ionCube. Nos ingénieurs vérifieront ceux qui sont disponibles.

Certaines extensions PECL sont fournies sous forme de paquets alt-php, comme par exemple alt-phpXY-pecl-msgpack et alt-phpXY-pecl-igbinary. Vous pouvez également installer des extensions à l'aide de pecl. Le Documentation ELS pour PHP (s'ouvre dans un nouvel onglet) montrer comment créer une extension pour alt-php à l'aide de phpize et du alt-phpXY-devel bibliothèque, en prenant SaxonC comme exemple.

Les versions standard d'alt-php ne sont pas compilées avec la sécurité des threads. alt-php72 sur EL7 propose également un paquet sécurisé au niveau des threads, alt-php72-zts, qui propose un zts-php binaire. Des versions « thread-safe » d'autres versions sont réalisées sur demande. Chacune correspond à une compilation distincte de PHP et de ses extensions PECL, soit environ 75 paquets par version de PHP ; veuillez donc contacter le service commercial pour obtenir un devis.

Mettez à jour les paquets alt-php à l'aide de l'outil de mise à jour habituel de votre système (yum, dnf ou apt). La version mise à jour s'installe dans le répertoire /opt/alt/phpXY. Vous pouvez vérifier quelle version corrige les problèmes de votre branche PHP et de votre système d'exploitation dans le Suivi des vulnérabilités CVE par TuxCare.

À l'heure actuelle, TuxCare n'applique pas de correctifs aux paquets Remi. alt-php s'installe parallèlement à la version PHP de Remi, dans le répertoire /opt/alt/phpXY, et vous y transférez les sites un par un. Par exemple, alt-php74 peut être installé sur Rocky Linux 9.

Les paquets arm64 sont disponibles pour Debian 12 et 13, ainsi que pour Alpine Linux 3.23 et versions ultérieures. Le script d'installation Debian, install-els-alt-php-deb-repo.sh, configure le référentiel dans les conteneurs Debian 12 et 13 sur amd64 et arm64. Exécutez-le avec bash, car son exécution avec sh génère des erreurs. La licence pour les conteneurs fait l'objet d'un accord distinct ; veuillez donc contacter le service commercial.

Oui, à condition que le service commercial donne son accord. Le service commercial peut ajouter vos adresses IP à la liste blanche de rsync. Les dépôts TuxCare utilisent toujours une authentification par jeton ou par adresse IP.

TuxCare propose des paquets source pour ELS pour PHP : des paquets src.rpm pour Enterprise Linux et des archives tar contenant le code source pour Debian et Ubuntu. Ceux-ci sont fournis aux clients sur simple demande.

Ces versions corrigent les vulnérabilités CVE-2026-109618 et CVE-2026-109619 :

• PHP 5.2.17 : tuxcare.els9
• PHP 5.4.45 : tuxcare.els8
• PHP 5.6.40 : tuxcare.els12
• PHP 7.2.34 : tuxcare.els9
• PHP 7.3.33 : tuxcare.els11
• PHP 7.4.33 : tuxcare.els13
• PHP 8.0.30 : tuxcare.els8
• PHP 8.1.33 : tuxcare.els6
• PHP 8.2.29 : tuxcare.els4

Toute version portant ce numéro ELS ou un numéro supérieur intègre le correctif. Toutes les versions sont disponibles à l'adresse windows.tuxcare.com/php/<version>/.

• PHP 5.2 et 5.4 : x86 uniquement, VC9
• PHP 5.6 : x86 et x64, VC11
• PHP 7.2, 7.3 et 7.4 : x86 et x64, VC15
• PHP 8.0, 8.1 et 8.2 : x86 et x64, vs16

Chaque version est disponible en versions « thread-safe » (TS) et « non-thread-safe » (NTS). PHP 5.2 ne peut être compilé qu'en architecture x86 ; il n'existe donc pas de version x64 de ce logiciel.

Vous devez disposer de droits d'administrateur et soit d'une clé de licence TuxCare, soit du jeton d'authentification dont vous disposez déjà. Vous pouvez procéder à l'installation à l'aide du programme d'installation TuxCare (recommandé), ou à l'aide du tuxcare-installer.ps1 Script PowerShell ou téléchargement manuel. Le programme d'installation installe une version de PHP à chaque exécution.

Si PHP est déjà installé, vous pouvez choisir « Remplacer », ce qui supprime les installations précédentes, ou « Côté à côté », ce qui les conserve. Le programme d'installation crée le fichier php.ini à partir du fichier php.ini-production, ajoute le dossier PHP au chemin d'accès système et supprime les autres dossiers PHP de ce chemin.

Certaines extensions sont marquées « TS uniquement » ou « NTS uniquement » et ne fonctionnent qu’avec la version correspondante. Pour IIS, la documentation renvoie à la documentation officielle de PHP. Si le programme d’installation affiche « (Non authentifié) », cela signifie que votre licence ou votre jeton ne couvre pas PHP. Le programme d’installation déplace les dossiers PHP désinstallés vers %APPDATA%\TuxCareInstaller\Backups, ce qui vous permet de restaurer une version que vous auriez supprimée par erreur.

Oui. Télécharger tuxcare-installer.ps1 depuis windows.tuxcare.com, en utilisant le lien figurant dans le Documentation ELS pour PHP (s'ouvre dans un nouvel onglet), puis exécutez-le à partir d'une invite de commande avec privilèges. Pour l'automatisation, utilisez l'option -ExecutionPolicy Bypass ; sinon, le script signé affiche une invite unique de confirmation de l'éditeur sous RemoteSigned. Une seule commande permet d'enregistrer le serveur, d'enregistrer le jeton et d'installer PHP :

powershell.exe -NoProfile -ExecutionPolicy Bypass -File tuxcare-installer.ps1 -LicenseKey <license key> -Product php -Install "<archive name>" -InstallFolder D:\PHP -Modules curl,mbstring,openssl -NoPath

• Sélectionnez l'archive en fonction de son nom de fichier, exactement tel que -List -Product php l'affiche. Les caractères génériques sont autorisés, mais le motif doit correspondre exactement à une seule archive, car chaque correspondance est installée les unes après les autres.
• Dans le nom de l'archive, « nts » signifie « non thread-safe » (les versions thread-safe ne comportent pas la partie « nts »), « x64 » ou « x86 » correspond à l'architecture, et « vs16 », « vc15 » ou « VC11 » désigne le compilateur.
• PHP est extrait dans le dossier d'installation, dans un sous-dossier portant le nom de l'archive. Le dossier d'installation par défaut est C:\Program Files. Si ce sous-dossier existe déjà, l'installation échoue avec le code de sortie 5.
• Sans -NoPath, le nouveau dossier est ajouté au PATH de la machine et toutes les autres entrées du PATH contenant « php » sont supprimées. Avec -NoPath, le chemin d'accès n'est pas modifié lors de l'installation ou de la désinstallation.
• -Modules répertorie les extensions à activer dans le fichier php.ini généré. Toutes les autres restent répertoriées mais désactivées. Si vous laissez -Modules Par défaut, toutes les extensions sont désactivées.
• Pour les exécutions répétées, omettez -LicenseKey et le jeton enregistré est utilisé. Le passage de -LicenseKey sur un serveur déjà enregistré génère une erreur avec le code de sortie 2. L'installation d'une archive déjà installée affiche le message « déjà installé » et se termine avec le code de sortie 0.
• Codes de sortie : 0 = opération réussie, 2 = déjà enregistré, 3 = échec de l'enregistrement ou absence de jeton, 4 = aucune correspondance, 5 = échec de l'installation, 14 = droits d'accès insuffisants.

TuxCare.Installer.exe est un package WiX Burn qui prend en charge les options standard de Burn : /install, /uninstall, /repair, /layout, /quiet, /passive, /norestart, /forcerestart et /log. Exécutez-le avec des privilèges administrateur pour une installation en mode silencieux :

TuxCare.Installer.exe /install /quiet /norestart /log C:\Temp\tuxcare-install.log

TuxCare.Installer.exe /uninstall /quiet /norestart désinstalle PHP tout en conservant la version déjà installée. Ajout de UninstallProducts=1 Il désinstalle également PHP et annule l'enregistrement du serveur.

Le numéro de version de TuxCare n'apparaît pas avec la commande `php -i`. Il figure uniquement dans le nom du fichier ZIP, qui suit le format php-<version>-tuxcare-els<N>-nts-Win32-vs16-x64-signed.zip. Le script PowerShell extrait le code PHP dans un dossier portant le nom de l'archive, sans l'extension .zip. Chaque fichier zip contient le fichier news.txt, dont la section « Sécurité (backports TuxCare ELS) » répertorie les CVE backportés dans cette version.

Les mises à jour s'effectuent manuellement. Pour une installation PHP sans panneau de configuration, remplacez tous les fichiers du dossier PHP, à l'exception des fichiers .ini ; cette méthode fonctionne dans la plupart des cas.

Il n'existe pas d'extension TuxCare pour Plesk sous Windows. Les versions ELS peuvent remplacer le contenu des dossiers PHP correspondants de Plesk, tout en conservant les extensions tierces déjà présentes dans ces dossiers. L'architecture de la version doit correspondre à celle du dossier PHP de Plesk à remplacer, et le runtime Visual C++ doit correspondre au compilateur de la version, comme indiqué dans la question sur les architectures ci-dessus.

Une version « fixed » conserve la même version de PHP et ne modifie que son numéro de version, comme l'explique la question sur le statut « fix » ci-dessus. TuxCare publie ces informations de sécurité pour ELS for PHP :

• Avis d'errata, portant sur la sécurité et certains correctifs de bogues : https://security.tuxcare.com/errata/els_alt_php/<os>/
• Définitions des correctifs OVAL pour OpenSCAP et les outils similaires : https://security.tuxcare.com/oval/els_alt_php/<os>/oval.xml
• Avis CSAF contenant des données VEX, qui indiquent quelles vulnérabilités CVE connues affectent des versions spécifiques de paquets : https://security.tuxcare.com/csaf/v2/els_alt_php/<os>/
• Un flux RSS pour suivre les mises à jour : https://tuxcare.com/cve-tracker/api/cves/export/rss?product=PHP (s'ouvre dans un nouvel onglet)

<os> correspond au segment de chemin du système d'exploitation, tel que el8, ubuntu22.04 ou debian12. Les errata et le CSAF couvrent les versions EL 6 à 10, Ubuntu 16.04 à 24.04, Debian 10 à 13 et Alpine 3.23 à 3.24. OVAL couvre les mêmes systèmes, à l'exception d'Alpine. Ubuntu 26.04 ne dispose que du flux RSS. Les paquets et leurs métadonnées sont signés et distribués à partir d’un registre géré par TuxCare. Des SBOM au format SPDX ou CycloneDX sont disponibles pour certains paquets ; leur disponibilité varie selon les paquets, veuillez donc contacter TuxCare pour en savoir plus sur un paquet spécifique. Détails : données de sécurité lisibles par machine (s'ouvre dans un nouvel onglet).

TuxCare prend en charge CakePHP (s'ouvre dans un nouvel onglet) dans le cadre d'ELS (Language Ecosystems), avec les versions corrigées 2.10.24, 4.4.18 et 5.0.11 fournies depuis un dépôt Composer hébergé sur le Nexus de TuxCare. D'autres versions de CakePHP sont disponibles sur demande. L'accès nécessite des identifiants Nexus, que vous pouvez obtenir auprès de TuxCare. TuxCare ajoute également d'autres paquets PHP Composer sur demande.

Effectuez la mise à jour vers une version corrigée. L'équipe PHP en amont indique qu'il s'agit de la seule solution complète. En attendant, procédez comme suit :

• Limitez l'accès au site. Utilisez une liste blanche de groupes de sécurité AWS ou un VPN.
• Ensemble session.upload_progress.enabled = 0. Cela permet de colmater une faille d'attaque connue uniquement pour CVE-2026-109619. Configurez ce paramètre dans le fichier php.ini, dans un pool PHP-FPM ou dans la configuration du serveur qui s'applique avant l'analyse des requêtes, puis redémarrez tous les workers. Ne vous fiez pas à la fonction ini_set() ni à un fichier .user.ini de PHP-FPM pour cela.
• Bloquez les requêtes multipart (formulaire ou téléchargement) si le site n'en a pas besoin. Les requêtes multipart spécialement conçues déclenchent la vulnérabilité CVE-2026-109618.

Imunify360, lorsque le WAF est activé, reçoit automatiquement les jeux de règles 8.83 à 8.88. Le jeu de règles 8.83 bloque la requête d'exploitation qui circule publiquement. Ces jeux de règles constituent un correctif virtuel : ils bloquent les modèles de requêtes connus au niveau de la périphérie du serveur, tandis que le code PHP vulnérable reste inchangé. Au 23 octobre 2026, aucune règle ne bloque le scénario de dépassement de mémoire de la vulnérabilité CVE-2026-109618. La couverture des règles est différente sur LiteSpeed ; l’article de CloudLinux (s’ouvre dans un nouvel onglet) fournit plus de détails. Imunify360 avec le WAF désactivé, ImunifyAV et ImunifyAV+ ne bénéficient d’aucune protection grâce à ces ensembles de règles. Seule la mise à jour PHP corrige ces failles.

Sur certains serveurs, oui. L'équipe PHP a intégré des corrections pour les versions 7.4, 8.0 et 8.1 dans son arborescence de sources sans créer de versions officielles, et les scripts de la communauté recompilent désormais PHP à partir de ces sources. Cette méthode permet de corriger un bug, mais uniquement sur la version de PHP que vous avez compilée vous-même, et uniquement sur les plateformes prises en charge par ces scripts. Les paquets des distributions, mod_php et celui de LiteSpeed lsphp ne sont pas pris en charge, et les binaires recompilés ne reçoivent plus aucune mise à jour ; ainsi, dès l'apparition d'un nouveau CVE concernant PHP, le processus de compilation recommence depuis le début. ELS pour PHP fournit des versions corrigées via yum, dnf ou apt, continue à corriger votre branche après l'exploitation de la faille « php2shell » et publie des données OVAL que votre scanner peut lire.