Faille PHP « PHP2Shell » : comment vérifier en dix minutes si votre site est exposé, et quoi faire ensuite

Par Rédaction E.T Editalent, publié le 2026-10-28.

Contenu partiellement rédigé par l’IA.

Illustration : Faille PHP « PHP2Shell » : comment vérifier en dix minutes si votre site est exposé, et quoi faire ensuite

En bref Deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance sur tout serveur PHP qui sert des pages web. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Un site encore en PHP 8.1, 8.0 ou 7.4 doit migrer, les correctifs n'existent pour ces branches que sous forme de patch source.

Photo : salle de supervision du centre de calcul NERSC, Derrick Coetzee, domaine public (CC0), via Wikimedia Commons.

Ce qui s'est passé

Le 21 octobre 2026, l'équipe de sécurité de PHP a publié une mise à jour pour deux failles surnommées « PHP2Shell » par les chercheurs. La première (CVE-2026-109618) provient d'une corruption de données lorsque PHP manque de mémoire pendant une requête. La seconde (CVE-2026-109619) tient à des données résiduelles qui persistent d'une requête à l'autre dans un même processus. Les deux obtiennent un score CVSS v4.0 de 9,2 et permettent, selon php.net, une exécution de code à distance sans authentification.

Toutes les installations qui servent des requêtes web sont concernées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed. Le risque est jugé le plus élevé avec mod_php. Un avis complémentaire du 23 octobre (CVE-2026-115560) décrit un problème lié, de moindre gravité, sans exploitation signalée.

Pourquoi les petits sites sont les plus exposés

Le support de sécurité de PHP 8.1 s'est arrêté le 31 décembre 2025. Celui de PHP 8.2 s'arrête le 31 décembre 2026. D'après un relevé Shodan du 21 octobre 2026 cité par HeroDevs, environ 73,5 % des 2,6 millions de services qui annoncent leur version PHP tournent encore en 8.1 ou plus ancien. Ce chiffre ne couvre que les serveurs qui affichent une bannière de version, mais l'ordre de grandeur est parlant : la majorité des sites WordPress installés il y a trois ou quatre ans et jamais migrés sont dans ce cas.

Vérifier son site en dix minutes

  1. Dans l'administration WordPress, ouvrir Outils, puis Santé du site, onglet Informations, section Serveur : la version de PHP y figure.
  2. Si la version commence par 7.4, 8.0 ou 8.1, le site n'a pas reçu de correctif officiel. La migration vers 8.2 au minimum, 8.3 de préférence, est à planifier sans attendre.
  3. Si la version est 8.2, 8.3, 8.4 ou 8.5, vérifier le numéro complet : il doit être au moins 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Chez la plupart des hébergeurs mutualisés, le changement se fait dans le panneau de gestion, sans intervention technique.
  4. Mettre à jour WordPress, le thème et les extensions, puis tester les pages principales et les formulaires.
  5. Vérifier qu'une sauvegarde complète (fichiers et base de données) existe et qu'elle est restaurable.

Si le site est déjà compromis

Les signes habituels : pages inconnues indexées par Google, redirections vers des sites étrangers, alerte de l'hébergeur, ralentissement soudain. La priorité est de couper l'accès (mode maintenance), de conserver une copie pour analyse, puis de restaurer une sauvegarde antérieure à l'incident sur une version de PHP corrigée. Changer tous les mots de passe, y compris ceux de la base de données et du FTP.

Comment E.T Editalent intervient

L'équipe prend en charge la mise à jour PHP et WordPress, le nettoyage après compromission et un plan de maintenance mensuel, avec un délai de réponse de quatre heures ouvrées sur les demandes urgentes. La demande se fait en ligne, sans appel.

Pour aller plus loin

Besoin urgent ?

Votre site affiche une alerte ou tourne sur une version de PHP obsolète ? Décrivez ce que vous observez, sans transmettre de mot de passe : une personne vous répond sous 4 h ouvrées. Signaler un problème de sécurité

Sources

Retour au blog