Faille PHP2Shell (CVE-2026-109618 et CVE-2026-109619) : mettez à jour PHP d'urgence
Deux failles critiques de PHP permettent de prendre le contrôle d'un serveur web à distance, sans identifiant. Versions corrigées, sites concernés, comment vérifier sa version de PHP et que faire sur un hébergement mutualisé.
C’est l’une des failles les plus graves de l’année pour le web. Le 21 octobre 2026, l’équipe de PHP a publié en urgence des versions corrigeant deux failles critiques, surnommées PHP2Shell : CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur 10. Elles permettent, selon les chercheurs, de prendre le contrôle d’un serveur à distance, sans aucun identifiant, avec une simple requête envoyée avant même que le code du site ne s’exécute.
PHP fait tourner une immense partie du web : WordPress, Joomla, Drupal, PrestaShop, la plupart des sites vitrines et des boutiques en ligne. Si vous gérez un site, voici l’essentiel.
Les versions de PHP à installer
| Branche | Version corrigée |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Les versions 8.1 et antérieures (dont la 7.4, encore très répandue) ne sont plus supportées officiellement. L’équipe de PHP a publié des correctifs minimaux sous forme de code source, et certaines distributions Linux ou éditeurs de support étendu proposent leurs propres mises à jour. Mais la vraie solution est de passer à une version supportée.
Qui est concerné ?
D’après Help Net Security, toutes les installations de PHP qui répondent à des requêtes web sont touchées, quelle que soit la façon dont PHP est branché au serveur : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Les configurations avec mod_php seraient les plus exposées.
- Un site WordPress, Joomla, Drupal, PrestaShop ou fait maison en PHP : concerné tant que la version de PHP n’est pas corrigée. Mettre à jour WordPress ou ses extensions ne suffit pas : c’est PHP lui-même qu’il faut mettre à jour.
- Un site statique (HTML pur, générateur comme Astro, Hugo ou Jekyll) : pas concerné, puisqu’aucun PHP ne s’exécute quand un visiteur charge une page.
Les attaques ont-elles commencé ?
Un outil d’exploitation existe : sa capture d’écran a fuité avant le correctif, et des chercheurs l’ont jugée authentique. La société watchTowr dit avoir observé des tentatives d’exploitation sur ses serveurs pièges dès le 21 octobre. La faille n’est pas encore dans le catalogue des failles exploitées de l’agence américaine CISA, mais il serait imprudent d’attendre : les robots qui scannent le web en permanence s’emparent de ce genre de faille en quelques heures.
Comment vérifier sa version de PHP
- Hébergement mutualisé (o2switch, OVHcloud, Hostinger, IONOS…) : dans votre panneau d’administration, ouvrez la page de choix de version PHP (dans cPanel, « Sélectionner une version de PHP » ou « MultiPHP Manager »). La version exacte, avec le dernier chiffre, doit être au moins celle du tableau ci-dessus. En cas de doute, écrivez à votre hébergeur : c’est lui qui installe le correctif.
- WordPress : le menu Outils > Santé du site > Infos > Serveur affiche la version de PHP réellement utilisée par le site.
- Serveur dédié ou VPS : installez les paquets corrigés de votre distribution, puis redémarrez PHP-FPM ou le serveur web. Attention, la commande
php -vpeut afficher une version différente de celle qui sert réellement le site : vérifiez côté web. - Docker : reconstruisez vos images sur une image PHP corrigée et remplacez les conteneurs en cours.
Si vous ne pouvez pas mettre à jour tout de suite
Le seul vrai remède est le correctif. En attendant, plusieurs organismes proposent des solutions de secours :
- le NCSC britannique conseille de mettre hors ligne un serveur qui ne peut pas être corrigé immédiatement ;
- le CERT-EU suggère d’isoler les sites exposés à Internet, en restreignant l’accès au niveau du réseau ou du serveur web ;
- Cloudflare a déployé des règles de pare-feu applicatif pour tous ses clients, y compris gratuits. Il les présente lui-même comme une mesure provisoire, efficace seulement si le serveur refuse les connexions qui ne passent pas par Cloudflare.
Et après la mise à jour ?
Si votre site est resté vulnérable plusieurs heures ou jours, vérifiez qu’il n’a pas été compromis : fichiers PHP inconnus ou récemment modifiés, nouveaux comptes administrateurs, tâches planifiées suspectes. Une sauvegarde récente et testée permet de repartir d’une version saine en cas de doute. Et pour savoir dans quel ordre traiter les mises à jour au quotidien : quoi patcher en premier.