PHP2Shell désigne deux graves failles de sécurité dans PHP, un logiciel utilisé par de nombreux sites web. L’équipe PHP a publié des correctifs le 21 octobre 2026.
Si vous gérez un site, demandez à votre hébergeur s’il a installé ces correctifs. Si vous utilisez simplement des sites ou des applications, leurs responsables doivent mettre à jour les serveurs. Vous n’avez pas besoin d’installer PHP sur votre téléphone ou votre ordinateur.
Vérifié le 22 octobre 2026. Le tableau ci-dessous indique les premières versions qui corrigent ces deux failles. Votre hébergeur peut proposer une mise à jour de sécurité plus récente.
Qu’est-ce que PHP ?
PHP fait fonctionner des sites web en arrière-plan. Il peut charger un article de blog, traiter un formulaire ou lire des informations dans une base de données. Il s’exécute sur le serveur, c’est-à-dire l’ordinateur qui héberge le site. WordPress et de nombreux autres systèmes de sites web utilisent PHP.
PHP2Shell touche PHP lui-même. Un site peut donc avoir besoin d’une mise à jour de PHP même si son thème et ses extensions sont à jour. Dans leur présentation de PHP2Shell, les chercheurs expliquent les risques : un pirate peut notamment exécuter son propre code ou lire des informations confidentielles sur un serveur vulnérable.
Quelles sont les deux failles PHP ?
Ces failles portent deux numéros de référence. Ils permettent aux propriétaires de sites et aux hébergeurs d’identifier les bons correctifs :
- CVE-2026-109618 : PHP peut mal traiter une requête lorsqu’il manque de mémoire. Un pirate peut parfois utiliser cette erreur pour exécuter du code sur le serveur.
- CVE-2026-109619 : PHP peut continuer à utiliser la mémoire d’une ancienne requête alors qu’elle a déjà été libérée. Cela peut révéler des informations privées ou permettre l’exécution de code.
L’équipe PHP classe les deux failles comme critiques, avec une note de gravité de 9,2 sur 10 selon CVSS 4.0. Un pirate peut parfois les exploiter sans se connecter à un compte. Un site vulnérable doit être corrigé, mais cela ne signifie pas qu’il a déjà été piraté.
Que devez-vous faire ?
| Votre situation | La prochaine étape |
|---|---|
| Vous utilisez un site ou une application | Consultez ses annonces officielles. Son responsable se charge de la mise à jour du serveur. |
| Vous gérez un site WordPress | Demandez à votre hébergeur de confirmer que le PHP utilisé par votre site contient les correctifs. |
| Vous administrez votre propre serveur | Repérez toutes les installations de PHP, appliquez les correctifs et redémarrez les services qui utilisent PHP. |
| Vous utilisez un produit qui intègre PHP | Suivez les consignes de mise à jour de sécurité de son fabricant. |
Le National Cyber Security Centre britannique recommande de vérifier tous les systèmes qui utilisent PHP. Commencez par ceux qui sont accessibles depuis Internet. Même une version assez récente de PHP peut avoir besoin de ces correctifs.
Quelles versions de PHP contiennent les correctifs ?
| Branche de PHP | Première version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Vérifiez le numéro complet. La mention « PHP 8.3 » ne suffit pas : la première version standard de PHP 8.3 qui contient ces correctifs est la 8.3.36.
Certains hébergeurs et fournisseurs Linux ajoutent les correctifs à leurs propres paquets PHP sans changer le numéro de version principal. Dans ce cas, demandez-leur de confirmer que leur paquet corrige les deux CVE. L’avis de sécurité officiel de PHP présente ces possibilités.
PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour de sécurité régulières du projet PHP. Certains fournisseurs proposent leurs propres correctifs : vérifiez auprès d’eux. Pensez aussi à la suite si vous utilisez PHP 8.2. Selon le calendrier de prise en charge de PHP, les mises à jour de sécurité de cette branche s’arrêtent le 31 décembre 2026.
Comment vérifier PHP sur un site WordPress ?
L’annonce de WordPress sur ces failles PHP précise que PHP doit être mis à jour séparément. Une mise à jour de WordPress seule n’installe pas les correctifs.
- Vérifiez votre version de PHP. Dans WordPress, ouvrez Outils → Santé du site → Informations → Serveur. Cherchez la version de PHP. Votre panneau d’hébergement peut aussi l’indiquer. Si votre interface est en anglais, le chemin est Tools → Site Health → Info → Server.
- Interrogez votre hébergeur sur les deux failles. Donnez-lui les deux numéros CVE ci-dessus. Demandez si le PHP qui fait réellement fonctionner votre site a reçu les correctifs.
- Sauvegardez votre site avant tout changement. Incluez les fichiers et la base de données. Notre guide en anglais sur les sauvegardes WordPress explique les solutions. Si vous devez passer à une branche PHP plus récente, vérifiez que votre thème et vos extensions fonctionnent avec elle. Le guide WordPress de mise à jour de PHP présente cette préparation.
- Installez les correctifs et redémarrez PHP. Votre hébergeur devrait s’en charger avec un hébergement géré. Si vous administrez le serveur, suivez les instructions de votre fournisseur. Redémarrez ensuite les services qui exécutent PHP pour qu’ils utilisent le logiciel mis à jour.
- Vérifiez le fonctionnement du site. Confirmez que la mise à jour est active. Testez la connexion, les formulaires et l’envoi de fichiers. Si vous avez une boutique, vérifiez aussi le passage de commande. Faites de même pour les autres sites ou serveurs que vous gérez.
Vous pouvez envoyer ce message à votre hébergeur : « Le PHP qui fait fonctionner mon site a-t-il reçu les correctifs pour CVE-2026-109618 et CVE-2026-109619 ? Les services qui l’utilisent ont-ils été redémarrés ? Merci de confirmer la version active de PHP ou du paquet installé. »
Un pare-feu ou une extension de sécurité suffit-il ?
Un pare-feu peut bloquer certaines attaques, mais la mise à jour de PHP reste nécessaire. Cloudflare indique avoir ajouté des protections contre PHP2Shell et observé des tentatives d’attaque. L’entreprise demande toujours à ses clients de mettre à jour PHP.
Une extension de sécurité WordPress ou un nouveau mot de passe ne remplace pas cette mise à jour du serveur. Des réglages temporaires peuvent réduire certains risques. Selon l’équipe PHP, ils ne couvrent toutefois pas toutes les attaques.
Si votre hébergeur ne peut pas installer les correctifs rapidement, demandez quelles protections il peut appliquer en attendant. Le NCSC conseille d’envisager de mettre un système vulnérable hors ligne si ces protections ne peuvent pas être mises en place ou prennent trop de temps.
Les pannes des applications Pokémon sont-elles liées à PHP ?
L’annonce de maintenance urgente du support Pokémon du 21 octobre cite Pokémon HOME, Pokémon Champions et Pokémon Sleep. Ces services étaient en maintenance ou devaient l’être.
L’annonce ne donne pas PHP comme cause et ne signale pas de vol de données. Consultez cette page et les comptes officiels de chaque jeu pour les nouvelles informations. Un service peut être mis hors ligne par précaution. Ce n’est pas une preuve de piratage.
Que faire si votre site a déjà été piraté ?
Une mise à jour de PHP corrige ces failles, mais elle ne supprime pas les fichiers ou comptes qu’un pirate a pu laisser. Contactez votre hébergeur, conservez les journaux utiles et notez ce qui s’est passé et à quel moment.
Notre guide en anglais sur les signes d’un site WordPress piraté donne des points à vérifier. Suivez aussi les conseils de récupération de WordPress si vous soupçonnez une intrusion. Un site qui semble normal peut quand même nécessiter des vérifications.
Questions fréquentes
PHP est-il un virus ?
Non. PHP est un logiciel qui sert à faire fonctionner des sites web. PHP2Shell est le nom associé à ces failles de sécurité et aux recherches qui les concernent.
Une mise à jour de WordPress corrige-t-elle PHP2Shell ?
Non. Votre hébergeur doit mettre à jour le PHP utilisé par votre site. Gardez aussi WordPress, votre thème et vos extensions à jour.
PHP 8.3 est-il protégé contre ces failles ?
La première version standard corrigée est PHP 8.3.36. Si votre hébergeur affiche un numéro plus ancien, demandez si son propre paquet contient les deux correctifs.
Dois-je installer un correctif sur mon téléphone ?
Vous n’avez pas besoin d’installer PHP pour utiliser un site ou une application. Son responsable doit corriger le serveur. Suivez les annonces officielles du service.
Puis-je attendre que mon site cesse de fonctionner ?
Non. Un site peut fonctionner normalement tout en utilisant un PHP vulnérable. Consultez votre hébergeur même si vous ne voyez aucune erreur.
Cela veut-il dire que mes données ont été volées ?
Non. Une faille crée un risque, mais elle ne prouve pas qu’un service précis a été piraté. Les services concernés devraient publier leurs propres informations sur tout incident confirmé.