Faille PHP2Shell : votre site est-il concerné ?

Le 21 octobre 2026, l'équipe de PHP a publié des correctifs d'urgence pour deux failles critiques, rapidement surnommées PHP2Shell. Elles permettent à un attaquant d'exécuter du code sur un serveur à distance, sans identifiant ni mot de passe. Si votre site tourne sous PHP (c'est le cas de tous les sites WordPress, WooCommerce, PrestaShop ou Joomla), il est concerné tant que la version de PHP de votre hébergement n'a pas été mise à jour.

Voici ce qu'il faut savoir, comment vérifier votre site en quelques minutes, et quoi faire concrètement.

Que s'est-il passé ?

Deux vulnérabilités ont été découvertes au cœur même de PHP, le langage qui fait tourner une grande partie des sites web. Elles sont notées 9,2 sur 10 en gravité (score CVSS), ce qui les place dans la catégorie « critique ». Elles circulent sous les identifiants CVE-2026-109618 et CVE-2026-109619.

En pratique, une requête spécialement préparée suffit à prendre la main sur le serveur : l'attaquant peut alors lire vos données, installer un logiciel malveillant, injecter des pages de spam ou rediriger vos visiteurs vers d'autres sites.

Plusieurs organismes de sécurité ont publié des alertes, dont le CERT-EU et le NCSC britannique, et des tentatives d'exploitation ont été signalées. Ce n'est donc pas un risque théorique.

Mon site est-il concerné ?

Votre site est concerné s'il fonctionne avec PHP et que la version installée sur votre serveur est antérieure aux versions corrigées :

• PHP 8.5 : corrigé à partir de la version 8.5.12
• PHP 8.4 : corrigé à partir de la version 8.4.27
• PHP 8.3 : corrigé à partir de la version 8.3.36
• PHP 8.2 : corrigé à partir de la version 8.2.35

Toutes les configurations qui servent des pages web sont touchées : PHP-FPM, Apache avec mod_php, CGI, FrankenPHP ou LiteSpeed.

Les versions plus anciennes (PHP 8.1 et avant) ne sont plus maintenues par le projet PHP : elles ne recevront pas de correctif officiel. Si votre site tourne encore sur l'une d'elles, la seule vraie solution est de passer à une version supportée.

Ce qui ne suffit pas

Mettre à jour WordPress, votre thème ou vos extensions ne corrige pas cette faille. Le problème se trouve dans PHP lui-même, c'est-à-dire sur le serveur, en dessous de votre site. C'est la mise à jour de PHP chez votre hébergeur qui compte.

## Comment vérifier votre site en 5 minutes

1. 1Connectez-vous à l'espace client de votre hébergeur (OVHcloud, o2switch, Hostinger, IONOS...). La version de PHP est généralement indiquée dans la gestion de l'hébergement ou dans le panneau d'administration (cPanel, Plesk, hPanel).
2. 2Dans WordPress, allez dans Outils > Santé du site > Infos > Serveur : la version de PHP y est affichée.
3. 3Comparez avec la liste ci-dessus. Si votre version est plus ancienne que la version corrigée de sa branche, votre site est exposé.

Sur un hébergement mutualisé, la mise à jour dépend souvent de l'hébergeur : la plupart ont déployé les correctifs, mais il vaut mieux le vérifier que le supposer.

## Que faire si votre site est exposé ?

• Mettez PHP à jour sans attendre, vers la dernière version de votre branche, ou demandez-le à votre hébergeur.
• Si vous êtes encore sur PHP 8.1 ou avant, planifiez la migration vers une version supportée. Testez d'abord sur une copie du site : un changement de version peut casser une extension ancienne.
• Faites une sauvegarde complète (fichiers et base de données) avant toute intervention.
• Surveillez les signes d'intrusion : nouveaux comptes administrateurs inconnus, fichiers modifiés récemment, pages en anglais ou liens vers des casinos et des pharmacies, alertes de Google Search Console.
• Changez vos mots de passe (administration, FTP, base de données) si vous avez le moindre doute.

Pourquoi la maintenance fait toute la différence

Ce type de faille rappelle une réalité simple : un site web n'est jamais « fini ». Il repose sur un serveur, un langage et des composants qui doivent être tenus à jour, parfois dans l'urgence. Les sites qui ne sont suivis par personne sont ceux qui restent vulnérables le plus longtemps.

C'est exactement le rôle d'un forfait de maintenance : mises à jour, sauvegardes, surveillance et intervention quand une alerte de ce genre tombe. Chez l'Agence HDS, la maintenance démarre à 350 € par mois et couvre l'hébergement, les mises à jour, les sauvegardes et le suivi de votre site.

Vous ne savez pas si votre site est concerné ? Contactez-nous : nous vérifions la version de PHP de votre site et vous disons quoi faire.

## Sources

• CERT-EU : Critical Vulnerabilities in PHP
• NCSC : Critical security issue affecting PHP
• OVHcloud : protéger vos serveurs Bare Metal et VPS