Faille PHP2Shell (octobre 2026) : votre site est-il concerné et que faire ?

Le 21 octobre 2026, l’équipe de PHP a publié en urgence des correctifs pour deux failles critiques, surnommées PHP2Shell. Elles peuvent permettre à un attaquant, sans aucun identifiant, d’exécuter du code sur le serveur qui héberge un site. Comme PHP fait tourner une très grande partie du web, dont tous les sites WordPress, cette faille PHP concerne potentiellement des millions de sites, partout dans le monde. Les agences de cybersécurité française, américaine et britannique ont toutes appelé à agir immédiatement.

Votre site est-il concerné ? Que faire concrètement, et dans quel ordre ? Voici l’essentiel, sans jargon, avec les mesures à prendre dès aujourd’hui.

Faille PHP d’octobre 2026 : ce qui s’est passé

Le 20 octobre, l’équipe de sécurité de PHP a annoncé une mise à jour critique pour le lendemain. Le 21 octobre à 16 h (heure de Paris), elle a publié les versions corrigées et un bulletin de sécurité. Deux vulnérabilités sont en cause, toutes deux notées 9,2 sur 10 selon la grille CVSS :

• CVE-2026-109618 : lorsqu’un manque de mémoire interrompt PHP au mauvais moment, des données de la requête restent à moitié initialisées et peuvent ensuite être traitées comme valides ;
• CVE-2026-109619 : des données internes peuvent survivre après la fin d’une requête et être réutilisées par la requête suivante, traitée par le même processus.

Dans les deux cas, le résultat possible est le pire scénario en sécurité informatique : une exécution de code à distance, c’est-à-dire la prise de contrôle du serveur par une simple requête web.

Ce qu’en disent les autorités

• En France, le CERT-FR (ANSSI) a publié l’alerte CERTFR-2026-ALE-014. Le 22 octobre, il a indiqué avoir connaissance de preuves de concept, c’est-à-dire de démonstrations d’attaque, pour certaines configurations de PHP.
• Aux États-Unis, la CISA demande de corriger immédiatement, en priorité les serveurs exposés sur Internet, et de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour. À la date de son alerte, elle n’avait pas observé d’exploitation.
• Au Royaume-Uni, le NCSC invite toutes les organisations utilisant PHP à mettre à jour sans attendre.

Votre site est-il concerné par la faille PHP ?

Selon le bulletin officiel, toutes les installations de PHP qui répondent à des requêtes web sont à risque, quel que soit le mode de fonctionnement : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. L’équipe de PHP juge le risque le plus élevé avec mod_php, pour lequel une attaque a été démontrée avant même l’exécution du code du site.

Concrètement, votre site est probablement concerné s’il s’agit :

• d’un site WordPress, WooCommerce, PrestaShop, Drupal ou Joomla ;
• d’une application métier ou d’un extranet développé en PHP (Laravel, Symfony…) ;
• de n’importe quel site hébergé sur un serveur où PHP est installé.

Le point clé est la version de PHP utilisée par votre hébergement :

• PHP 8.2, 8.3, 8.4 et 8.5 : corrigés à partir des versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ;
• PHP 8.1, 8.0, 7.x et 5.x : ces versions ne sont plus maintenues par le projet PHP. Certaines distributions Linux et certains éditeurs de support étendu proposent des correctifs, et l’équipe de PHP a publié des correctifs minimaux pour les versions 7.4, 8.0 et 8.1 à compiler soi-même. Mais la seule solution durable est de passer à une version maintenue.

Si vous ne savez pas quelle version utilise votre site, c’est le signe qu’il faut faire vérifier rapidement. C’est précisément le type d’intervention que nous assurons dans le cadre de la infogérance et de la maintenance de sites web.

Faille PHP : que faire maintenant ?

L’équipe de PHP est claire : il n’existe pas de contournement complet, seule la mise à jour protège réellement. Voici l’ordre de priorité.

1. Identifier la version de PHP de chaque site

Elle apparaît dans l’espace client de votre hébergeur (OVH, o2switch, Ionos, Infomaniak…), dans l’outil « Santé du site » de WordPress (rubrique Informations, puis Serveur), ou peut être vérifiée par votre prestataire. Faites l’inventaire de tous vos sites : vitrine, boutique, extranet, anciens sites encore en ligne.

2. Mettre à jour PHP

• Hébergement mutualisé : la plupart des grands hébergeurs appliquent eux-mêmes les correctifs sur les versions récentes. Vérifiez leur page d’information et, si votre site utilise une version ancienne, choisissez une version maintenue dans votre espace client.
• Serveur dédié, VPS ou cloud : c’est à vous, ou à votre prestataire, d’installer les paquets corrigés puis de redémarrer les services PHP.
• Version ancienne (8.1 ou avant) : la montée de version est indispensable. Elle doit être testée, car un changement de version majeure peut casser une extension ou un thème ancien.

3. Vérifier que le site fonctionne toujours

Après la mise à jour : pages principales, formulaires de contact, paiement, espace client, tâches automatiques. Sur WordPress, profitez-en pour mettre à jour le cœur, le thème et les extensions, et supprimer celles qui ne servent plus. Notre comparatif WordPress ou développement sur mesure explique pourquoi un site bien entretenu reste beaucoup plus sûr.

4. Si la mise à jour est impossible tout de suite

Le bulletin de PHP et le CERT-FR listent des mesures provisoires, qui réduisent le risque sans rendre le serveur sûr :

• désactiver l’option session.upload_progress.enabled dans la configuration de PHP, puis redémarrer tous les processus PHP ;
• abaisser la taille maximale des envois (post_max_size) lorsque le site n’a pas besoin de gros fichiers ;
• filtrer ou surveiller les requêtes suspectes avec un pare-feu applicatif (WAF), comme le recommandent le CERT-FR et la CISA.

Pour un serveur ancien qui ne peut pas être corrigé, la CISA et le CERT-FR recommandent de l’isoler, voire de le mettre hors ligne le temps de la migration.

5. Surveiller les signes d’intrusion

Si votre site était vulnérable, vérifiez l’absence de fichiers PHP inconnus, de comptes administrateurs créés récemment, de redirections étranges ou de pages de spam. La Search Console de Google signale aussi les problèmes de sécurité détectés sur un site : notre guide de la Google Search Console explique où les trouver. En cas de doute, faites appel à un professionnel avant de remettre le site en ligne.

Mise en conformité en urgence : comment nous pouvons vous aider

Pour nos clients, aucune inquiétude : les sites que nous hébergeons et maintenons en infogérance étaient déjà prêts. Les correctifs de PHP ont été appliqués sur nos serveurs dès le 21 octobre, jour de leur publication, et aucun impact n’a été constaté. C’est tout l’intérêt d’une infogérance suivie : la veille de sécurité, l’application des correctifs et les contrôles sont faits pour vous, avant même que vous n’entendiez parler de la faille.

Votre site n’est pas encore suivi par nos équipes ? Face à une faille de cette ampleur, chaque jour compte. Nous proposons une intervention en urgence pour mettre vos sites en conformité, quels que soient l’hébergeur et la technologie :

• diagnostic immédiat : version de PHP, hébergement, exposition, état du CMS et des extensions ;
• mise à jour de PHP vers une version corrigée et maintenue, ou application des mesures provisoires si une migration est nécessaire ;
• tests complets du site après mise à jour, et corrections de compatibilité si un thème ou une extension ancienne pose problème ;
• contrôle d’intégrité : recherche de fichiers suspects et de signes de compromission ;
• traitement groupé si vous avez plusieurs sites, pour tout sécuriser rapidement, en une seule intervention.

Nous maintenons déjà les sites de nos clients avec cette exigence, à l’image de HMG Finance, dont nous assurons la maintenance et la sécurité. Vous avez un doute sur l’un de vos sites ? Contactez-nous dès aujourd’hui en précisant « faille PHP » : nous traitons ces demandes en priorité, à Nîmes comme à distance.

Comment éviter d’être pris de court la prochaine fois ?

PHP2Shell rappelle une évidence souvent oubliée : un site web n’est jamais « terminé ». Il repose sur un serveur, un langage et des extensions qui reçoivent régulièrement des correctifs. Trois réflexes limitent fortement le risque :

1. Un contrat d’infogérance avec SLA, pour que les mises à jour critiques soient appliquées en quelques heures, sans que vous ayez à suivre l’actualité de la sécurité.
2. Des versions maintenues de PHP et du CMS, avec un calendrier de migration anticipé. PHP 8.2, par exemple, ne recevra plus de correctifs de sécurité après le 31 décembre 2026.
3. Des sauvegardes testées, stockées en dehors du serveur, pour pouvoir restaurer rapidement un site en cas d’incident.

Ce coût de fonctionnement est à prévoir dès la création du site : nous le détaillons dans notre article sur le coût d’un site internet professionnel.

En résumé

La faille PHP2Shell, corrigée le 21 octobre 2026, est l’une des plus sérieuses de ces dernières années pour le web : elle peut permettre de prendre le contrôle d’un serveur sans identifiant, et des démonstrations d’attaque circulent déjà. La seule protection réelle est de passer à PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou à une version plus récente, puis de vérifier son site. Les sites que nous gérons n’ont subi aucun impact. Si vous ne savez pas où en sont les vôtres, ne prenez pas de risque : nous pouvons les mettre en conformité en urgence et vous proposer une maintenance pour l’avenir.