Le 21 octobre 2026, l’équipe de PHP a publié en urgence des correctifs pour deux failles critiques, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619). PHP est le langage qui fait tourner l’immense majorité des sites web : WordPress, WooCommerce, Joomla, PrestaShop, la plupart des intranets et des outils de facturation en ligne.
Ces failles permettent à un pirate d’exécuter son propre code sur le serveur, sans identifiant ni mot de passe, avec une seule requête envoyée au site. Une tentative d’attaque a été observée par Amazon dès le 17 octobre, quatre jours avant l’annonce publique. Les agences de sécurité américaine (CISA) et britannique (NCSC) demandent de corriger immédiatement.
Êtes-vous concerné ?
- Oui, si vous avez un site web en PHP (WordPress, boutique en ligne…), quel que soit l’hébergeur. Toutes les façons de faire tourner PHP sur un serveur web sont touchées (PHP-FPM, Apache avec mod_php, CGI, LiteSpeed…).
- Oui aussi pour certains appareils dont l’interface d’administration utilise PHP : Palo Alto Networks a par exemple confirmé que ses pare-feux (PAN-OS) et Panorama sont touchés, sans correctif disponible à l’heure où nous écrivons.
- Non, pour un ordinateur de bureau qui ne fait que visiter des sites.
Les versions corrigées
| Branche PHP | Version corrigée (ou plus récente) |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 et plus ancien | plus maintenu par PHP : correctif seulement chez certains distributeurs Linux, à remplacer par une version récente |
Que faire ?
- Trouvez la version de PHP de votre site. Dans WordPress : Outils › Santé du site › Infos › Serveur. Chez la plupart des hébergeurs mutualisés (cPanel), l’outil « Sélecteur de version PHP » l’affiche aussi.
- Comparez-la au tableau ci-dessus. Si elle est plus ancienne dans sa branche, c’est à mettre à jour.
- Hébergement mutualisé (o2switch, OVH, Hostinger…) : c’est l’hébergeur qui installe les correctifs de PHP. La plupart l’ont fait dans les jours qui ont suivi ; en cas de doute, ouvrez un ticket et demandez-le-lui par écrit. Si votre site tourne encore en PHP 8.1, 8.0 ou 7.x, choisissez une version plus récente dans le sélecteur (après une sauvegarde, et en vérifiant ensuite le site).
- Serveur à vous (VPS, serveur dédié, NAS qui héberge un site) : installez les mises à jour du système (paquets PHP de votre distribution ou de votre fournisseur) puis redémarrez PHP-FPM ou Apache.
- Impossible de mettre à jour tout de suite ? Le centre de cybersécurité britannique conseille de couper le site en attendant. Cloudflare a ajouté des règles de pare-feu applicatif contre les attaques connues, y compris pour les comptes gratuits : utile en attendant, mais ça ne remplace pas la mise à jour.
Le conseil BETOTECH
Une version de PHP qui n’est plus maintenue (8.1 et avant) ne recevra plus de correctifs : c’est le bon moment pour passer en 8.3 ou 8.4. Faites une sauvegarde complète du site avant, et vérifiez ensuite formulaires, paiement et extensions. Si vous ne savez pas où regarder, contactez-nous : nous vérifions votre site et votre hébergement.
Sources
- Help Net Security – PHP2Shell: critical PHP vulnerabilities patched (21/10/2026)
- CISA – Critical Vulnerabilities in PHP Require Immediate Patching
- Datadog Security Labs – PHP2Shell : détection et correction
- CloudLinux – état des paquets PHP corrigés
Article publié le 1er novembre 2026. Les informations de sécurité évoluent vite : avant d’agir, vérifiez toujours l’avis officiel du fabricant (liens ci-dessus).