Le 21 octobre 2026, l’équipe PHP a publié des mises à jour de sécurité hors calendrier. Elles corrigent deux failles connues sous le nom de « PHP2Shell » : CVE-2026-109618 et CVE-2026-109619. Toutes deux sont classées critiques avec une note de 9,2 sur 10. Un attaquant peut ainsi exécuter son propre code sur le serveur web sans s’authentifier et, dans le pire des cas, prendre le contrôle de tout le site.
Les détails ont été rendus publics avant la date prévue. Des tentatives d’attaque ont donc eu lieu avant même la disponibilité des mises à jour. Plusieurs administrations et hautes écoles, y compris en Suisse, ont mis leur site hors ligne par précaution.
Qui est concerné
PHP est la base d’une grande partie des sites web. De très nombreux systèmes sont donc touchés :
- les sites sous WordPress, Joomla, TYPO3 ou Drupal
- les boutiques en ligne avec WooCommerce, Shopware, Magento ou PrestaShop
- les portails clients, systèmes de réservation et applications web internes
- les interfaces web de logiciels basés sur PHP, comme Nextcloud ou un webmail
Important : la faille se trouve dans PHP lui-même, c’est-à-dire dans le logiciel du serveur. Une mise à jour de WordPress ou des extensions ne la corrige pas.
Les versions sûres
Le problème est corrigé dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 et ultérieures. Pour PHP 8.1 et toutes les versions plus anciennes, le projet PHP ne fournit plus de correctif. Il faut alors passer à une version actuelle ou recourir à un prestataire qui fournit des correctifs pour les anciennes versions.
Après la mise à jour, tous les processus PHP doivent être redémarrés. Sinon, l’ancien code vulnérable reste chargé en mémoire.
Ce que vous devez faire maintenant
- Interroger l’hébergeur. Si votre site est chez un hébergeur, demandez par écrit si PHP a été mis à jour et redémarré sur votre serveur et quelle version tourne désormais.
- Vérifier la version. Dans WordPress, le menu Outils → Santé du site → Informations affiche la version de PHP sous « Serveur ».
- Mettre à jour vos propres serveurs. Si vous exploitez vous-même le serveur web, installez les mises à jour du système et redémarrez PHP-FPM ou le serveur web.
- Chercher des traces. Comme des attaques ont eu lieu avant la mise à jour, appliquer le correctif ne suffit pas. Vérifiez l’apparition de comptes administrateur inconnus, de nouveaux fichiers PHP dans les dossiers d’upload ou de fichiers modifiés.
- Changer les accès. En cas de soupçon d’intrusion, changez les mots de passe de la base de données, du FTP, de l’hébergement et des comptes administrateur.
- Contrôler la sauvegarde. Assurez-vous qu’une sauvegarde antérieure au 20 octobre existe et qu’elle peut être restaurée.
Comment nous vous aidons
Pour les clients sous contrat de support, l’installation de ces mises à jour fait partie de la maintenance courante. Si votre site n’est pas suivi par nous, nous nous chargeons volontiers de la vérification à court terme :
- Nous déterminons la version de PHP réellement utilisée par votre site, y compris chez un hébergeur externe.
- Nous installons les mises à jour ou les coordonnons avec votre hébergeur.
- Nous examinons fichiers, comptes et journaux à la recherche de traces d’attaque et nettoyons le site si nécessaire.
- Pour les systèmes obsolètes, nous planifions le passage à une version actuelle de PHP et testons au préalable le site, la boutique et les extensions.
Notre propre site a-bot.ch fonctionne d’ailleurs sans PHP et n’a pas été touché par la faille.
Appelez-nous ou écrivez-nous via le formulaire de contact. En cas de soupçon concret, nous vous répondons le plus vite possible. Plus d’informations sous Sécurité informatique. Pour vous préparer au prochain incident, lisez notre article sur le plan d’urgence informatique.
Questions fréquentes
Mon site WordPress est-il concerné ?
Probablement oui, si le serveur utilise une version de PHP antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. WordPress n’est pas défaillant en soi, mais il fonctionne sur PHP. C’est la version de PHP du serveur qui compte.
Suffit-il que mon hébergeur ait installé la mise à jour ?
La mise à jour ferme la faille pour l’avenir. Si le site a été attaqué auparavant, une porte dérobée installée reste toutefois en place. Une recherche de traces est donc utile.
Comment savoir si mon site a été piraté ?
Les signes typiques sont de nouveaux comptes administrateur, des fichiers PHP inconnus dans le dossier d’upload, des redirections vers des sites étrangers, du contenu spam ou une hausse soudaine des e-mails sortants. Souvent, il n’y a toutefois aucun signe visible.
Qu’en est-il de PHP 7 ou PHP 8.1 ?
Ces versions ne reçoivent plus de mises à jour de sécurité du projet PHP et restent vulnérables. Le passage à une version actuelle est urgent.
