PHP2Shell : votre site est-il concerné ?

Le 21 octobre 2026, PHP a publié des correctifs urgents pour deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619. PHP Foundation et Tenable les désignent ensemble sous le nom de PHP2Shell. Selon l'évaluation CVSS v4.0, elles ont toutes deux une gravité de 9,2 sur 10. Pour le dirigeant d'une entreprise, cela signifie une chose très concrète : il faut vérifier PHP sur le serveur, et pas seulement le panneau d'administration du site.

Qu'est-ce que PHP2Shell, en termes simples ?

PHP est l'environnement de programmation qui exécute une grande partie du code situé derrière le site. WordPress, WooCommerce, Joomla et Drupal sont des systèmes construits avec PHP. Lorsqu'un visiteur ouvre une page, envoie un formulaire ou passe une commande, le serveur utilise PHP pour traiter la requête et renvoyer un résultat.

PHP2Shell est une faiblesse de cet environnement lui-même. Selon PHP, cité par Tenable, les deux vulnérabilités peuvent être exploitées à distance, sans que l'attaquant dispose d'un mot de passe ou d'un compte utilisateur. En cas d'attaque réussie, il peut exécuter son propre code sur le serveur. Il ne s'agit donc plus seulement d'un problème lié à une page ou à une extension, mais à la base sur laquelle fonctionne le site.

Selon Help Net Security, les installations PHP qui traitent des requêtes web sont concernées. Cela inclut PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le propriétaire n'a pas besoin de savoir laquelle de ces technologies utilise le serveur. Il doit obtenir la version exacte de PHP et vérifier si elle a été corrigée.

Pourquoi cela concerne-t-il WordPress, WooCommerce, Joomla et Drupal ?

Ces plateformes ne sont pas PHP lui-même, mais elles fonctionnent avec PHP. Un site WordPress peut disposer de la dernière version du cœur et de toutes ses extensions, tandis que son serveur utilise une ancienne version de PHP. Dans ce cas, les mises à jour du site ne résolvent pas le problème de l'environnement d'exécution.

Il en va de même pour WooCommerce. La boutique peut accepter des commandes, envoyer des notifications et fonctionner normalement pour les clients, alors que PHP sur le serveur reste vulnérable. Le fonctionnement visible du site ne prouve pas que sa base est à jour.

Joomla et Drupal dépendent eux aussi de la version de PHP sur laquelle ils sont installés. Cela ne signifie pas que tous les sites utilisant ces systèmes ont été attaqués. Cela signifie que chacun de ces sites doit être vérifié au niveau du serveur.

Quelles versions de PHP sont corrigées ?

Selon les correctifs publiés par PHP, les branches concernées disposent des versions suivantes, qui corrigent PHP2Shell :

Si le serveur fonctionne avec une version antérieure au sein de la branche correspondante, il n'a pas reçu le correctif. Selon PHP, des correctifs existent dans le code source pour PHP 7.4, 8.0 et 8.1, mais aucune version officielle n'a été publiée. PHP ne propose aucun correctif pour PHP 5.4 à 7.3.

La réponse « le site est sous PHP 8 » ne suffit donc pas. Il faut connaître la version mineure exacte, par exemple savoir s'il s'agit de 8.4.27 et pas simplement de 8.4. Selon Tenable et l'étude de Calif, le plus ancien code concerné date de PHP 5.4, ce qui signifie que la faiblesse est restée inaperçue pendant plus de dix ans.

Comment vérifier si votre site est concerné ?

1. 01
   Identifiez le responsable du serveur

   Vérifiez votre contrat ou vos échanges avec l'hébergeur, l'agence web ou la société de maintenance. Pour certains sites, une société a créé le site tandis qu'une autre gère le serveur. Il est important que la question parvienne à la personne capable de voir et de modifier PHP.

2. 02
   Demandez la version exacte de PHP

   Envoyez une question courte : « Quelle est la version exacte de PHP utilisée sur le serveur de notre site et le correctif contre PHP2Shell est-il installé ? » N'acceptez pas une réponse indiquant seulement que « le serveur est à jour » ou que « WordPress est à jour ».

3. 03
   Comparez la version avec les versions officiellement corrigées

   Si la version est antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 dans la branche correspondante, le site est exposé. Selon les consignes de vérification, PHP 8.1 et les versions antérieures doivent également être considérés comme exposés.

4. 04
   Demandez un plan si la mise à jour n’est pas possible immédiatement

   Il arrive qu’un ancien site dépende d’une ancienne extension ou d’un code qui ne fonctionne pas avec une nouvelle version de PHP. Dans ce cas, demandez un plan précis : sauvegarde, environnement de test, vérification de la compatibilité et délai de mise à jour. Il ne suffit pas de laisser le problème sans date ni responsable.

Si vous utilisez Cloudflare, selon Help Net Security, des règles ont été publiées dans le pare-feu contre les méthodes d’attaque connues, y compris pour les comptes gratuits. Cela peut réduire le risque lié aux attaques connues, mais ne remplace pas la mise à jour de PHP. Pour un système qui ne peut pas être mis à jour immédiatement, le NCSC recommande d’envisager une suspension temporaire.

Qu’avons-nous fait pour les sites que nous hébergeons et maintenons ?

Le 21 octobre 2026, le jour de la publication du correctif, nous avons mis à jour PHP sur tous les sites clients utilisant PHP que nous hébergeons et maintenons. Ils fonctionnent sous PHP 8.4.27, la version corrigée pour cette branche. Le 22 octobre, nous avons vérifié à nouveau les serveurs et aucune mise à jour de PHP n’est en attente.

La vérification a porté sur les sites et les boutiques en ligne WordPress hébergés sur nos serveurs. Cela inclut également les boutiques utilisant WooCommerce. Après la mise à jour, nous avons vérifié que tous ces sites répondent normalement.

Les sites, boutiques en ligne et systèmes que nous développons avec Next.js, Node.js et .NET n’utilisent pas PHP. Pour cette raison précise, ils ne sont pas concernés par PHP2Shell. Cela ne signifie pas que chaque système est protégé contre toute vulnérabilité future, mais simplement que cette vulnérabilité de PHP ne les concerne pas.

Pour les sites que nous n’hébergeons pas ou que nous ne maintenons pas, nous ne pouvons pas supposer la version de PHP. Elle doit être vérifiée dans l’environnement d’hébergement réel. Si le site a été créé par une autre entreprise, mais n’est plus maintenu, nous pouvons commencer par un audit et préciser ce qui doit être corrigé. Cela fait partie de notre service de reprise et maintenance d’un site existant.

Que signifie « corrigé » et que cela ne signifie-t-il pas ?

Corrigé signifie que la vulnérabilité PHP2Shell a été éliminée grâce à une version prise en charge ou à l’application d’un correctif. Il s’agit d’un constat important, mais limité.

Cela ne signifie pas que le site est protégé pour toujours. D’autres problèmes restent possibles : extensions obsolètes, mots de passe faibles, droits d’accès incorrects, failles dans le site lui-même, absence de sauvegardes ou problèmes liés à un autre service du serveur. La mise à jour de PHP doit donc faire partie de la maintenance continue, et non constituer une raison ponctuelle d’arrêter les vérifications.

Si vous disposez de votre propre serveur ou d’un hébergement géré par votre équipe, demandez qui surveille les mises à jour urgentes et comment la restauration à partir d’une sauvegarde est vérifiée. Avec une entreprise externe, demandez la même chose par écrit. Vous ne dépendrez ainsi pas d’une assurance vague selon laquelle « tout va bien ».

Que faire si personne ne vous donne de réponse claire ?

Rassemblez l’adresse du site, les informations d’hébergement et le nom de l’entreprise qui le maintient. Envoyez une demande concernant la version exacte de PHP et demandez une confirmation après la mise à jour. Si le site est ancien, demandez également une vérification de compatibilité avant d’effectuer la modification.

Si votre site utilise PHP et que vous n’êtes pas certain qu’il a été mis à jour, écrivez-nous. Nous vérifierons la version de PHP et mettrons à jour le serveur lorsque nous y aurons accès et que la modification sera techniquement possible. Pour la surveillance continue, les sauvegardes et les mises à jour, consultez la maintenance de site, et pour un environnement serveur géré, l’hébergement de site. Vous pouvez nous envoyer votre demande via notre page de contact.