Faille PHP2Shell : votre site est-il touché ? Le guide simple

Deux failles critiques de PHP, surnommées PHP2Shell et rendues publiques le 21 octobre 2026, permettent de prendre la main sur un site sans mot de passe. Elles sont déjà exploitées. Si votre site fonctionne avec WordPress, Joomla, Drupal ou PrestaShop, vérifiez aujourd'hui que votre version de PHP est l'une des versions corrigées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou une révision plus récente de la même série. Notre test gratuit vous le dit en quelques secondes.

Ce qui s'est passé

PHP est le langage qui fait tourner une grande partie des sites du monde, dont tous les sites WordPress. Le 21 octobre 2026, l'équipe de PHP a publié en urgence des versions corrigées pour deux failles, référencées CVE-2026-109618 et CVE-2026-109619. Chacune est notée 9,2 sur 10. Elles touchent PHP lui-même, avant même le code de votre site : une personne qui ne vous connaît pas peut faire exécuter ses propres commandes sur le serveur.

Les attaques n'ont pas attendu. Amazon a observé une première tentative le 17 octobre, quatre jours avant l'annonce ; la société de sécurité Sansec a vu les premières attaques le matin du 21 octobre, avant même la sortie du correctif. L'agence américaine de cybersécurité, la CISA, a demandé le jour même une mise à jour immédiate. Selon Tenable, le moteur de recherche Shodan recense environ 1,9 million de serveurs PHP visibles sur Internet.

Qui est concerné ?

• Concernés : les sites qui fonctionnent avec PHP, c'est-à-dire WordPress (et WooCommerce), Joomla, Drupal, PrestaShop, Magento, TYPO3, SPIP, et beaucoup de sites faits sur mesure. Toutes les versions de PHP de 5.4 à 8.5.11 sont touchées, quelle que soit la façon dont le serveur les fait tourner.
• Pas concernés directement : les sites construits sur Wix, Squarespace, Webflow ou Shopify. Ces plateformes gèrent leurs propres serveurs ; vous n'avez rien à faire.
• Probablement pas concernés : les sites construits avec d'autres technologies (Next.js, Astro, sites statiques…). Si un prestataire a fait votre site et que vous ne savez pas, posez-lui la question.

Comment savoir en deux minutes

1. Faites notre test. Votre site est-il exposé à la faille PHP ? lit votre page d'accueil comme un visiteur : il reconnaît PHP, le logiciel du site et, si votre site l'affiche, la version. Il ne tente aucune attaque.
2. Dans WordPress : menu Outils, puis Santé du site, onglet Infos, rubrique Serveur. Le numéro complet compte : 8.3.36 est corrigé, 8.3.35 ne l'est pas.
3. Chez votre hébergeur : dans votre espace client, la rubrique de votre hébergement indique la version de PHP. C'est souvent là aussi qu'on la change.

Le piège du numéro

Deux situations trompent souvent.

• Une version trop ancienne. Les branches 7.4, 8.0 et 8.1 ne sont plus suivies par l'équipe de PHP : il n'existe aucune version officielle corrigée. Chez beaucoup d'hébergeurs mutualisés, c'est vous qui choisissez la branche dans votre espace client ; un site resté réglé sur une branche ancienne ne reçoit pas la correction, même si l'hébergeur fait ses mises à jour.
• Un numéro qui ne bouge pas. Certaines distributions et certains hébergeurs (Ubuntu, CloudLinux, Red Hat et ses dérivés) appliquent le correctif sans changer le numéro affiché. Un numéro ancien n'est donc pas toujours une mauvaise nouvelle, et seul votre hébergeur peut le confirmer.

Dans le doute, écrivez à votre hébergeur : « Le correctif des failles PHP CVE-2026-109618 et CVE-2026-109619 est-il appliqué sur mon hébergement ? ». Gardez sa réponse.

Que faire selon votre cas

1. Hébergement mutualisé, version suivie (8.2 à 8.5) : l'hébergeur met généralement PHP à jour lui-même. Vérifiez le numéro complet ; s'il n'est pas encore corrigé, demandez-lui quand il le sera.
2. Hébergement mutualisé, version ancienne (7.4, 8.0, 8.1) : passez à une version suivie, 8.3 ou 8.4, depuis votre espace client. Avant, mettez à jour WordPress (ou votre logiciel), le thème et les extensions, et faites une sauvegarde : une très vieille extension peut ne pas supporter la nouvelle version. Si c'est le cas, votre prestataire peut la remplacer.
3. Serveur à vous (VPS, serveur dédié) : mettez à jour les paquets PHP aujourd'hui, puis redémarrez le service PHP. Si la mise à jour doit attendre quelques heures, Tenable et Qualys recommandent en attendant de désactiver le réglage session.upload_progress.enabled et de fixer memory_limit par l'administrateur : ce sont des mesures d'attente, pas une correction.
4. Site fait par un prestataire : envoyez-lui un message aujourd'hui avec le nom de la faille et les numéros CVE. Une réponse sous 24 heures est raisonnable.

Une fois à jour, demandez aussi que la version de PHP ne soit plus affichée par le serveur (réglage expose_php = Off) : les robots d'attaque lisent ce numéro pour choisir leurs cibles.

Et si votre site a déjà été attaqué ?

Des pages que vous n'avez pas créées, des redirections vers d'autres sites, un administrateur inconnu, un hébergeur qui suspend votre compte : ce sont des signes à prendre au sérieux. Ne vous contentez pas de mettre PHP à jour, car une porte déjà ouverte reste ouverte. Faites appel à un professionnel, changez les mots de passe d'administration depuis un appareil sain, et consultez cybermalveillance.gouv.fr, le dispositif public qui aide les entreprises victimes.

Ce que nous avons fait chez nous

Le lendemain de l'annonce, nous avons vérifié un par un tous les logiciels qui tournent sur nos serveurs. Aucun des sites que nous construisons et hébergeons ne fonctionne avec PHP ; deux outils internes l'utilisaient. Ils ont été mis à jour le soir même, après sauvegarde, et nous n'avons trouvé aucune trace d'attaque. Nous avons aussi ajouté la version de PHP de chaque outil à notre vérification de sécurité mensuelle, qui ne la regardait pas.

Ce que nous proposons

Si le test vous laisse un doute, nous regardons avec vous, gratuitement et en vingt minutes : votre version, votre hébergeur, ce qu'il faut faire d'abord. Si une simple mise à jour suffit, nous vous le dirons.

Si votre site est ancien et fragile, nous pouvons aussi le reconstruire avec une technologie qui n'a pas besoin de PHP ni d'extensions à surveiller : plus rapide, plus simple à garder sûr, et à votre nom.