Informations sur la vulnérabilité de sécurité PHP2Shell (CVE-2026-109618 et CVE-2026-109609) dans le contexte de VertiGIS Integrator (UT Integrator)

VertiGIS Integrator contient différents fichiers PHP dans le framework Dojo fourni. VertiGIS Integrator lui-même n’utilise pas la technologie PHP et ne contient pas d’environnement d’exécution PHP. Apache Tomcat n’exécutant pas les fichiers PHP par défaut, ces fichiers ne présentent pas de risque de sécurité direct dans une installation standard. Il existe un risque uniquement si un environnement d’exécution PHP a également été installé sur le serveur et configuré en conséquence.

La présence ou l’activation d’un environnement d’exécution PHP sur le serveur peut par exemple être vérifiée à l’aide des commandes suivantes :

• php -v                             Vérifie si un environnement d’exécution PHP est installé.
• ps -ef | grep php        Vérifie si des processus PHP sont en cours d’exécution. 

Si aucun environnement d’exécution PHP n’est installé ou actif, les fichiers PHP fournis ne peuvent pas être exécutés.

Indépendamment de cela, nous recommandons de supprimer les fichiers *.php, car ils ne sont pas nécessaires au fonctionnement des applications.

Dans les anciennes versions, le framework Dojo est fourni sous forme de répertoire au sein de l’application Web :

TOMCAT]/webapps/utpostserver/dojo*

Les fichiers *.php qu’il contient peuvent être supprimés directement des sous-répertoires correspondants. Dans les versions plus récentes, le framework Dojo se trouve dans un Web-JAR.

[TOMCAT]/webapps/utpostserver/WEB-INF/lib/dojo*.jar

Les fichiers JAR correspondant au format ZIP, ils peuvent être ouverts avec des outils courants tels que 7-Zip. Les fichiers *.php qu’ils contiennent peuvent ensuite être supprimés de l’archive. Il est également possible de demander un Web-JAR Dojo nettoyé auprès du support VertiGIS.