Faille PHP « php2shell » : votre site est-il concerné ?
Le 21 octobre 2026, PHP a corrigé deux failles critiques qui permettent de prendre la main sur un serveur à distance, sans mot de passe. PHP fait tourner WordPress et la plupart des sites vitrines. Voici comment savoir si le vôtre est exposé, et quoi faire.
Ce qui s'est passé
- → Deux failles notées 9,2 sur 10, le niveau « critique ». Elles permettent d'exécuter du code sur le serveur à distance.
- → Les correctifs sont sortis le 21 octobre : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- → Le CERT-FR, le centre de veille de l'État, a publié une alerte le jour même et dit disposer de preuves que l'attaque fonctionne dans certaines configurations.
- → Cybermalveillance.gouv.fr prévient que des cybercriminels « pourraient très prochainement exploiter ces failles pour conduire des attaques massives ».
Quelle version de PHP est touchée ?
| Version | État | Que faire |
|---|---|---|
| PHP 5.x, 7.x, 8.0 et 8.1 | Touchées, et plus aucun correctif | Passer à une version maintenue |
| PHP 8.2 | Touchée avant 8.2.35 | Mettre à jour en 8.2.35 |
| PHP 8.3 | Touchée avant 8.3.36 | Mettre à jour en 8.3.36 |
| PHP 8.4 | Touchée avant 8.4.27 | Mettre à jour en 8.4.27 |
| PHP 8.5 | Touchée avant 8.5.12 | Mettre à jour en 8.5.12 |
Selon l'alerte du CERT-FR du 21 octobre 2026.
Trois situations, trois réponses
Votre site est chez un hébergeur
C'est le cas de la plupart des sites vitrines. Regardez dans votre espace client quelle version de PHP fait tourner le site, et demandez à votre hébergeur s'il a installé les correctifs du 21 octobre.
Vous gérez votre propre serveur
Installez la version corrigée de votre branche. PHP le dit sans détour : il n'existe pas de parade complète, la mise à jour est la seule solution sûre.
Votre site tourne en PHP 8.1 ou plus ancien
Ces versions ne reçoivent plus de correctifs. Il faut changer de version, et c'est là que ça se complique : un vieux thème ou de vieilles extensions WordPress peuvent ne pas suivre. On les met à jour ou on les remplace d'abord.
Votre site a peut-être déjà été visité
Mettre PHP à jour ferme la porte, mais ne fait pas sortir quelqu'un qui serait déjà entré. Pages inconnues, alerte « site dangereux », hébergeur qui bloque vos envois : lisez les premiers gestes quand un site est piraté, et voyez comment je répare un site piraté.
Questions fréquentes
Qu'est-ce que la faille php2shell ?
Deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, publiées le 21 octobre 2026. Elles permettent d'exécuter du code à distance sur le serveur, sans mot de passe.
Mon site WordPress est-il concerné ?
WordPress fonctionne avec PHP : tout site WordPress est concerné tant que la version de PHP qui le fait tourner n'est pas corrigée. Les versions sûres sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12, ou plus récentes.
Existe-t-il une solution en attendant la mise à jour ?
Le CERT-FR cite des mesures qui réduisent l'exposition, mais PHP précise qu'aucune n'est complète : seule la mise à jour protège.
Combien coûte la mise à niveau d'un vieux site WordPress ?
La sécurisation de WordPress, avec la mise à jour du thème, des extensions et de la version de PHP, coûte 200 €. Si le site a déjà été piraté, une investigation (200 €) passe avant.
Vous ne savez pas où en est votre site ?
Écrivez-moi avec l'adresse du site et le nom de votre hébergeur : je vous dis par où commencer.
Me contacter