Faille PHP2Shell : ce qu'il faut faire dès aujourd'hui pour protéger votre site.

1Point n°1

Ce qui se passe : deux failles critiques, surnommées PHP2Shell

Elles portent les identifiants CVE-2026-109618 et CVE-2026-109619, et sont notées 9,2 sur 10 (CVSS 4.0). Elles peuvent permettre à un attaquant d'exécuter du code à distance sur un serveur, sans mot de passe. Autrement dit, de prendre la main sur un site.

Les détails ont fuité avant la publication prévue, ce qui a poussé le projet PHP à avancer sa mise à jour. Cloudflare indique avoir vu apparaître les premières attaques avant même la sortie des correctifs. D'autres sociétés de sécurité parlent d'exploitation à grande échelle, ce que nous ne pouvons pas confirmer à ce stade : considérez simplement que le risque est réel.

Ce qu'il faut retenirLes correctifs existent depuis le 21 octobre 2026. Plus vous les appliquez tôt, moins votre site reste exposé.

2Point n°2

Qui est concerné : toutes les versions avant le correctif

Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. D'après les avis publiés, toutes les versions antérieures sont touchées. Les alertes évoquent des versions concernées dès PHP 5, ce que le projet PHP n'a pas détaillé pour les branches anciennes.

Point important : le projet PHP ne publie de correctifs que pour les branches 8.2 à 8.5. Les versions 8.1 et plus anciennes, y compris PHP 5 et 7, ne reçoivent pas de correctif officiel. Certains hébergeurs en fournissent de leur côté, d'où l'importance de leur poser la question.

À savoirLe chiffre de 70 % désigne la part de PHP parmi les sites dont le langage serveur est identifié (W3Techs). Il ne veut pas dire que 70 % des sites sont vulnérables aujourd'hui : un site déjà à jour ne l'est plus.

3Point n°3

Mettre à jour WordPress ne suffit pas

C'est le piège de cette alerte. Vous pouvez avoir un WordPress, un thème et des extensions parfaitement à jour, et rester vulnérable, parce que la faille est dans PHP, le moteur qui fait tourner le tout. Le correctif se fait donc au niveau du serveur ou de l'hébergement.

Tout site PHP est concerné, pas seulement WordPress : WooCommerce, PrestaShop, Magento, Joomla, Drupal et les outils sur mesure. Selon les analyses, le risque est le plus élevé sur les serveurs configurés avec Apache et mod_php, où l'attaque peut survenir avant même le chargement de WordPress.

Ce qu'il faut faireContactez votre hébergeur ou la personne qui gère votre serveur. La mise à jour de PHP se fait chez lui, souvent en quelques clics dans votre espace client.

4Point n°4

Vérifier la version de PHP de votre site

Deux endroits à regarder. Dans WordPress : Outils, puis Santé du site, onglet Infos, rubrique Serveur. Vous y verrez la version de PHP utilisée. Dans l'espace client de votre hébergeur, elle figure aussi dans les réglages du site ou du domaine.

Comparez-la aux versions corrigées (8.2.35, 8.3.36, 8.4.27, 8.5.12). Attention : certains hébergeurs appliquent le correctif sans changer le numéro de version affiché. Si le numéro vous semble ancien, demandez-leur directement si le correctif est bien déployé.

Ce qu'il faut faireNotez votre version, et posez cette question à votre hébergeur : « Mon site est-il protégé contre les failles CVE-2026-109618 et CVE-2026-109619 ? »

5Point n°5

Mettre à jour PHP, sans casser votre site

Faites une sauvegarde complète, puis passez à une version corrigée. Visez de préférence PHP 8.3, 8.4 ou 8.5 : la branche 8.2 arrive en fin de support de sécurité à la fin de 2026. Testez ensuite les pages importantes : formulaires, panier, paiement, espace client.

Si vous êtes en PHP 8.1 ou plus ancien, le saut est plus important. Un thème ou une extension ancienne peut poser problème : c'est le bon moment de faire le point, plutôt que de repousser. En attendant, un pare-feu applicatif comme celui de Cloudflare apporte une protection d'urgence, mais elle ne remplace pas la mise à jour.

Ce qu'il faut faireSi vous ne gérez pas votre serveur, demandez à votre prestataire. Nous pouvons le faire pour vous, avec notre maintenance WordPress.

6Point n°6

Vérifier que votre site n'a pas déjà été visé

Des attaques ont été signalées avant la publication des correctifs. Si votre site est resté sur une version vulnérable ces derniers jours, surveillez les signes habituels d'une intrusion : des fichiers que vous ne reconnaissez pas, un nouvel administrateur WordPress, des redirections vers d'autres sites, un site soudain très lent, ou une alerte de votre hébergeur.

En cas de douteChangez vos mots de passe (WordPress, hébergeur, base de données), faites analyser le site, et si nécessaire restaurez une sauvegarde saine, antérieure à l'incident. Mieux vaut un avis professionnel qu'un site compromis sans le savoir.