Le 21 octobre 2026, l'équipe de PHP a publié des correctifs d'urgence pour deux failles critiques dans le moteur même de PHP. Connues sous le nom de PHP2Shell, elles portent les identifiants CVE-2026-109618 et CVE-2026-109619 et un score de gravité de 9,2 sur 10. Si votre site tourne en PHP, et c'est le cas de la plupart, cet article est pour vous.
Qu'est-ce que PHP2Shell, en termes simples
PHP est le langage derrière une immense partie d'internet : WordPress, WooCommerce, PrestaShop, Joomla, Drupal et des milliers de sites sur mesure. Les deux failles ne se trouvent ni dans une extension ni dans un thème. Elles se trouvent dans PHP lui-même, dans sa façon de gérer la mémoire quand une requête se termine de manière anormale.
En pratique, un attaquant sans mot de passe et sans compte peut envoyer une requête préparée exprès et faire exécuter son propre code par le serveur. Dans la configuration la plus exposée (Apache avec mod_php), l'équipe de PHP a montré qu'une seule requête suffit, et que l'attaque a lieu avant même que le code du site commence à s'exécuter. Autrement dit : peu importe que votre WordPress soit à jour. Si le PHP du serveur ne l'est pas, le site est exposé.
Qui est concerné
Toutes les installations de PHP qui répondent à des requêtes web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs officiels. Certaines distributions Linux ont publié leurs propres correctifs, mais ceux qui sont encore en PHP 7 doivent migrer.
Déjà exploitée
Ce n'est pas un risque théorique. Le honeypot d'Amazon a enregistré une tentative d'exploitation le 17 octobre, quatre jours avant que les correctifs existent. Cloudflare a confirmé des attaques sur les deux failles juste après leur divulgation. Le centre de cybersécurité du Royaume-Uni (NCSC) et le CERT-EU ont recommandé de mettre hors ligne les systèmes qui ne peuvent pas être corrigés immédiatement.
Que faire, dans l'ordre
Savoir quelle version de PHP utilise votre site. Dans WordPress, elle se trouve dans Outils > Santé du site > Informations > Serveur. Dans le panneau de l'hébergeur (cPanel, Plesk), elle apparaît en général sur la page d'accueil.
Passer à une version corrigée. Si l'hébergement est mutualisé, c'est l'hébergeur qui fait la mise à jour. Demandez-lui par écrit s'il a déjà appliqué les correctifs PHP2Shell (CVE-2026-109618 et CVE-2026-109619).
Si la mise à jour n'est pas possible tout de suite, des mesures temporaires réduisent le risque, comme désactiver
session.upload_progress. L'équipe de PHP prévient elle-même qu'aucune ne protège complètement : la seule correction définitive est la mise à jour.Si le site est derrière Cloudflare, il existe des règles de pare-feu contre les attaques connues, y compris dans l'offre gratuite. Elles aident, mais elles sont temporaires et ne remplacent pas la mise à jour.
Après la mise à jour, vérifier s'il y a eu une intrusion : des fichiers PHP étranges dans les dossiers d'uploads, des administrateurs que personne n'a créés, des modifications récentes que personne n'a faites.
Ce que nous avons fait sur les sites de JoaoDG
Sur les serveurs que nous gérons, le PHP de tous les sites était déjà dans une version corrigée le 23 octobre, deux jours après la divulgation. Nous avons aussi revu les réglages recommandés par l'équipe de PHP, mis à jour WordPress, les extensions et les thèmes, et cherché des signes d'intrusion. Nous n'en avons trouvé aucun.
La leçon est toujours la même : un site n'est pas un tableau qu'on accroche au mur. Des failles apparaissent chaque semaine, et ce qui protège une entreprise, ce n'est pas d'avoir le plus beau site, c'est d'avoir quelqu'un qui s'occupe des mises à jour avant que les attaquants n'arrivent.
Vous ne savez pas dans quelle version est votre site, ni qui le met à jour ? Parlez-nous-en et nous vérifions avec vous.
Sources : BleepingComputer, Help Net Security. Image : Wikimedia Commons, domaine public (CC0).