Outils gratuits d'autodiagnostic pour la crise cyber d'octobre 2026
Trois incidents critiques en une semaine : PHP2Shell, le LiteLLM 1.107.0 piégé et huit clés d'AC eMudhra trop faibles. Ces scripts vous disent en quelques minutes si un serveur est exposé. Ils s'exécutent sur votre machine, en lecture seule, et n'envoient rien à personne, pas même à nous. C'est ainsi que les tests de sécurité devraient fonctionner. Zero Hunt les offre gratuitement pour aider chaque organisation à traverser cette crise.
S'exécute sur votre machine
Aucun envoi, aucun compte, aucun scanner en ligne. Aucune information sur vos systèmes ne quitte votre réseau.
Lecture seule
Les scripts lisent des fichiers et des versions. Ils ne modifient aucune configuration, ne suppriment aucun fichier et n'exploitent rien.
Open source, MIT
Du shell et du Python simples, lisibles en cinq minutes. Vérifiez l'empreinte SHA-256 avant de les lancer.
Fondés sur des faits vérifiés
Chaque contrôle provient de nos guides de remédiation, qui citent les avis des éditeurs.
Les trois contrôles
PHP2Shell (CVE-2026-109618, CVE-2026-109619)
Repère chaque build PHP du serveur (système, PHP-FPM, cPanel, Plesk, LiteSpeed, Remi, conteneurs avec --docker) et le compare aux versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Indique si mod_php est chargé, quelles mesures provisoires vos pools FPM appliquent et quels processus PHP ont lancé un shell ou un outil de téléchargement.
Les paquets des distributions intègrent souvent le correctif sans changer de numéro de version : ils sont marqués CHECK, vérifiez-les avec l'avis de sécurité de votre éditeur.
Télécharger, vérifier, lire, exécuter
curl -fsSLO https://zerohunt.ai/self-check/php2shell-check.sh
sha256sum php2shell-check.sh # must print 8603f15eec23b285…
less php2shell-check.sh # read it first
sudo sh php2shell-check.sh
Compromission de la chaîne d'approvisionnement de LiteLLM 1.107.0
Recherche les fichiers de la charge malveillante (cook.pth, cook.py, le sitecustomize.py malveillant), les métadonnées de la 1.107.0, les traces du voleur de données et du chargeur, les paquets en cache, l'empreinte de l'image Docker compromise, les pods Kubernetes qui l'exécutent et, si vous indiquez un dossier, les versions figées dans les fichiers requirements et lock. Il ne lance jamais Python, car sur un hôte infecté chaque démarrage de Python relance le voleur de données.
Ne rien trouver ne prouve pas que vous étiez à l'abri : les conteneurs et le nettoyage de /tmp effacent les traces. Vérifiez aussi les journaux de CI et de trafic sortant.
Télécharger, vérifier, lire, exécuter
curl -fsSLO https://zerohunt.ai/self-check/litellm-check.sh
sha256sum litellm-check.sh # must print e06a1e019bcfc8f3…
less litellm-check.sh # read it first
sudo sh litellm-check.sh ~/src
Clés d'AC eMudhra : magasins de confiance de Python, pip, uv et du système
Repère chaque bundle d'AC (certifi, la copie embarquée dans pip, les magasins du système, les fichiers désignés par SSL_CERT_FILE et variables similaires) et signale ceux qui font encore confiance à emSign ECC Root CA - G3 ou au chemin de certification croisée Sectigo, ainsi que certifi, pip et uv antérieurs aux versions corrigées. Utilisez --scan sur le système de fichiers exporté d'un conteneur.
Ne lit pas les keystores Java, le magasin Windows ni le trousseau macOS. Lancez-le avec -S pour que Python ignore les fichiers .pth.
Télécharger, vérifier, lire, exécuter
curl -fsSLO https://zerohunt.ai/self-check/trust_store_audit.py
sha256sum trust_store_audit.py # must print ff9aff85f05de454…
less trust_store_audit.py # read it first
python3 -S trust_store_audit.py
Un script vérifie un serveur. Les attaquants examinent tout votre réseau.
Savoir qu'un serveur utilise un PHP ancien n'est qu'un début. Les vraies questions sont : quels systèmes un attaquant peut-il atteindre, qu'ouvre une clé LiteLLM volée, et le correctif a-t-il vraiment fermé le chemin d'attaque ? Zero Hunt y répond avec une red team IA autonome installée sur une appliance dans votre réseau, avec ses propres modèles, sans que rien ne quitte votre périmètre.
Oui. Ce sont des scripts sous licence MIT, sans compte, sans inscription et sans limite d'utilisation. Utilisez-les, partagez-les, adaptez-les.
Les scripts envoient-ils des données à Zero Hunt ?
Non. Ils n'ouvrent aucune connexion réseau. Ils lisent uniquement des fichiers et des versions sur la machine où vous les exécutez, puis affichent le résultat.
Peut-on les lancer sans risque sur des serveurs de production ?
Ils fonctionnent en lecture seule et n'exploitent rien. Comme pour tout script, lisez-le avant de l'exécuter et comparez l'empreinte SHA-256 indiquée sur cette page.
Pourquoi pas un scanner en ligne ?
Un scanner en ligne ne voit que ce qui est exposé sur Internet et vous oblige à confier à un tiers une carte de vos systèmes. Un contrôle local voit le build que vous utilisez réellement, y compris sur les serveurs internes et dans les conteneurs, et garde cette carte dans votre réseau.