Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles critiques, surnommées PHP2Shell. Elles ne visent pas une extension WordPress ou un module PrestaShop en particulier : elles touchent PHP lui-même, le langage qui fait tourner l'immense majorité des sites. Si vous avez un doute sur l'état de votre site après ces annonces, notre rubrique dépannage explique comment obtenir un diagnostic gratuit. Voici ce qu'il faut savoir, et surtout ce qu'il faut vérifier.
Ce que sont ces deux failles
Les deux failles portent les références CVE-2026-109618 et CVE-2026-109619. Les avis officiels de PHP les décrivent ainsi :
- CVE-2026-109618 : lorsqu'une requête épuise la mémoire, PHP peut s'interrompre alors que certaines données internes ne sont qu'à moitié préparées. Le nettoyage de fin de requête traite ensuite ces données comme valides.
- CVE-2026-109619 : un état interne lié à une requête peut survivre après la libération de sa mémoire. Une requête suivante, traitée par le même processus, peut alors réutiliser cet état périmé.
Dans les deux cas, la conséquence est la même : un attaquant peut exécuter du code sur le serveur, sans compte et sans mot de passe, avant même que le code de votre site (WordPress, PrestaShop, Drupal ou un site sur mesure) ne soit chargé. C'est ce qui rend ces failles sérieuses : aucune extension de sécurité installée dans WordPress ne peut les bloquer, puisqu'elle n'a pas encore démarré au moment de l'attaque.
Les versions corrigées
Le projet PHP a publié les versions suivantes :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les branches 8.1 et antérieures ne sont plus maintenues officiellement. Des correctifs minimaux ont été mis à disposition pour 7.4, 8.0 et 8.1, mais ils s'adressent à ceux qui compilent PHP eux-mêmes ou passent par un fournisseur de support étendu. Pour un site qui tourne encore en PHP 7 ou 8.0, la vraie réponse est une montée de version, ce qui peut casser un vieux thème ou une vieille extension. Notre page erreur après une mise à jour de PHP traite précisément ce cas.
Est-ce exploité ?
Oui, des tentatives existent. Selon Amazon Threat Intelligence, un essai d'exploitation a été observé dès le 17 octobre, avant la publication. Le Centre canadien pour la cybersécurité et le NCSC néerlandais ont publié des alertes. Côté WordPress, Wordfence indiquait le 28 octobre ne connaître aucun site WordPress compromis par cette voie à cette date, tout en observant des requêtes liées à PHP2Shell sur les sites qu'il protège. Autrement dit : pas de panique, mais pas d'attente non plus.
Qui doit agir : vous ou votre hébergeur ?
Tout dépend de votre formule d'hébergement.
Hébergement mutualisé
Sur une offre mutualisée (la formule classique chez OVHcloud, o2switch, Hostinger, Ionos et la plupart des hébergeurs), PHP est géré par l'hébergeur. C'est à lui d'appliquer le correctif, et les principaux hébergeurs français ont communiqué sur un déploiement dans les jours qui ont suivi le 21 octobre. Votre rôle : vérifier l'annonce de votre hébergeur (page d'état des services, blog, e-mail) et ne pas rester sur une version de PHP abandonnée dans votre espace client.
Attention à un piège : certains hébergeurs appliquent un correctif rétroporté qui ne change pas le numéro de version affiché. Un site qui indique encore 8.3.35 peut donc être protégé. En cas de doute, c'est l'annonce de l'hébergeur qui fait foi, pas le numéro seul.
VPS, serveur dédié, serveur géré par un prestataire
Là, c'est à vous (ou à votre prestataire) de mettre à jour PHP et de redémarrer les services PHP. Les hébergeurs le rappellent : un VPS ou un serveur dédié non infogéré n'est pas corrigé automatiquement. Le correctif ne prend effet qu'après redémarrage de PHP-FPM ou d'Apache.
Comment vérifier la version de PHP de votre site
- Dans WordPress : menu Outils, puis Santé du site, onglet Informations, section Serveur. La version de PHP y figure.
- Dans PrestaShop : Paramètres avancés, puis Informations.
- Dans l'espace client de l'hébergeur : la plupart affichent la version active et permettent d'en changer.
- Sur un serveur : la commande php -v donne la version de la ligne de commande, qui peut différer de celle utilisée par le site web. Vérifiez aussi la version servie par PHP-FPM.
Si vous ne pouvez pas mettre à jour tout de suite
- Un pare-feu applicatif placé devant le site peut réduire le risque, si son éditeur a publié des règles contre PHP2Shell. Vérifiez-le auprès de lui : cette protection ne remplace pas la mise à jour.
- Le NCSC, l'agence britannique de cybersécurité, recommande d'abord la mise à jour, puis les mesures temporaires publiées par PHP. Si ni l'une ni les autres ne sont possibles rapidement, il conseille d'envisager la mise hors ligne du système jusqu'à sa correction. Pour un site vitrine, une page de maintenance le temps de la mise à jour reste une option raisonnable.
Comment savoir si le site a déjà été touché
Une faille corrigée n'efface pas une intrusion déjà réussie. Quelques signes doivent vous alerter :
- des fichiers PHP récents que vous n'avez pas créés, notamment dans les dossiers d'images ou d'envois ;
- un compte administrateur inconnu ;
- une redirection vers un autre site, ou des pages étrangères qui apparaissent dans Google ;
- des processus inhabituels ou une charge serveur anormale sur un VPS.
Si l'un de ces signes apparaît, le correctif ne suffit plus : il faut nettoyer et chercher les portes dérobées. Nous expliquons pourquoi un site se réinfecte après un nettoyage incomplet, et ce qu'il faut savoir sur le passage à PHP 8 si vous devez monter de version.
En résumé
- Mutualisé : vérifiez l'annonce de votre hébergeur et quittez les versions de PHP abandonnées.
- VPS ou dédié : mettez à jour PHP vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 au minimum, puis redémarrez les services.
- Dans tous les cas : surveillez les signes d'intrusion des dernières semaines.
Besoin d'un avis sur votre site ? Le diagnostic est gratuit. Vous pouvez aussi nous joindre au 04 82 53 39 32 ou à lois.armand@hinsight.org.
Sources
- Projet PHP, avis de sécurité GHSA-w8hw-w9fx-j79w (CVE-2026-109618) et GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
- Centre canadien pour la cybersécurité, alerte AL26-026
- NCSC-NL, informations opérationnelles php2shell
- NCSC (Royaume-Uni), Critical security issue affecting PHP, 21 octobre 2026