Ce genre de réponse ça me fume
j'aime pas faire ça, mais la y a plus que NECESSITE !
curl -s -I -L
http://www.forum-candaulisme.frHTTP/1.1 200 OK
Server: nginx
Date: Fri, 19 Sep 2025 22:11:41 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/5.6.40
Set-Cookie: phpbb3_canda15_u=1; expires=Sat, 19-Sep-2026 22:11:41 GMT; path=/; domain=.forum-candaulisme.fr; HttpOnly
Set-Cookie: phpbb3_canda15_k=; expires=Sat, 19-Sep-2026 22:11:41 GMT; path=/; domain=.forum-candaulisme.fr; HttpOnly
Set-Cookie: phpbb3_canda15_sid=c87b26d1275bdb6387bcf9d1eab719ad; expires=Sat, 19-Sep-2026 22:11:41 GMT; path=/; domain=.forum-candaulisme.fr; HttpOnly
Cache-Control: private, no-cache="set-cookie"
Expires: Fri, 19 Sep 2025 22:11:41 GMT
Vary: Accept-Encoding
Petite explication pour les néophytes et vous
@Stephane qui je l'espert est juste un manque de connaissance dans le domaine et pas une réponse de fuite en connaissance de la situation...
le serveur qui heberge le forum, disons simplement ... est VIEUX avec un plan de maintient au ras des paquerettes...
Version de PHP (et je ne parle même pas de Nginx... qui doit probablement être sur le même créneau) : 5.6
C'est quoi PHP, c'est l'interpreteur du language du site pour faire au plus simple sans trop rentrer dans le detail
PHP 5.6 est sorti en 2014, fin de support décembre 2018.
PHP 5.6.40 est la dernière release de sécurité (janvier 2019).
Depuis : plus aucun correctif officiel → toutes les vulnérabilités découvertes après 2019 restent ouvertes.
---
Types de vulnérabilités déjà connues sur PHP 5.6
Ces failles existent même sans bug dans ton code si PHP est configuré avec des modules risqués :
Use After Free / Heap Overflow dans certaines extensions (mbstring, gd, exif, xmlrpc…).
Information Disclosure (fuites de mémoire, affichage de variables sensibles).
Bypass de restrictions (open_basedir, safe_mode, disable_functions… obsolètes).
Désérialisation PHP : presque tous les frameworks ou CMS utilisent unserialize().
→ Sur PHP 5.x beaucoup d’exploits permettent RCE (exécution de code à distance) via des gadgets d’objets.
Vulnérabilités dans les modules tiers (PDO, mysqlnd, SOAP, phar…).
TLS/SSL : bibliothèques OpenSSL vieilles, supportent parfois encore TLS 1.0/1.1.
---
Couplé avec un CMS ancien (phpBB, WordPress, Joomla…)
PHP 5.6 + phpBB vieux = combo ultra dangereux :
Injection SQL ou XSS côté phpBB.
Upload arbitraire de fichiers .php si mauvaise vérification → code exécuté par PHP 5.6.
Accès shell via eval() / preg_replace() / assert().
---
Ce qu’un attaquant peut « au maximum » s’il réussit
En fonction des vulnérabilités :
Lecture d’infos sensibles (config.php, mots de passe DB…).
Modification des pages du site (défacement).
Upload webshell et exécution de commandes système avec l’utilisateur du processus web.
Pivot dans le serveur (scan réseau interne, vol de clés, escalade vers root via d’autres failles OS).
Ransomware/crypto-mining sur le serveur.
en gros on est sur du serveur End Of Life (fin de vie) Debian 8 / ubuntu 14 / centos 6 a vu de nez...
@Stephane, étant admin du site, étant responsable des données sur votre serveur, le minimum est de rendre compte de la situation
avec tout mon respect, Non, "pas un peu de serieux svp"
