Failles PHP « PHP2Shell » : ce que les TPE doivent vérifier

Le 21 octobre 2026 restera une journée agitée pour tous ceux qui gèrent des sites internet. La CNIL, des préfectures ou encore le site du parlement néerlandais ont été placés en maintenance par précaution, le temps d’appliquer des correctifs publiés en urgence. En cause : deux failles de sécurité surnommées « PHP2Shell ».

Vous n’êtes pas informaticien et vous vous demandez si cela vous concerne ? Si vous avez un site internet, la réponse est très probablement oui. Voici l’essentiel, sans jargon.

PHP, c’est quoi ?

PHP est le langage informatique qui travaille en coulisses sur les serveurs qui hébergent les sites web. Vous ne le voyez jamais, mais il est partout. WordPress, qui fait tourner une grande partie des sites vitrines de cabinets, de commerces et d’artisans, repose entièrement dessus. Les boutiques en ligne WooCommerce ou PrestaShop aussi.

Concrètement : si votre site a été créé avec WordPress, il fonctionne en PHP.

Que permettent ces failles ?

Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, ont reçu une note de gravité de 9,2 sur 10. Elles permettent à un attaquant d’exécuter ses propres commandes sur le serveur qui héberge le site, sans identifiant ni mot de passe.

Pour faire simple, c’est comme si la porte de service de votre site pouvait s’ouvrir avec n’importe quelle clé. Un pirate qui entre peut alors :

• modifier ou défigurer votre site ;
• y cacher des pages frauduleuses, ou rediriger vos visiteurs vers des sites malveillants ;
• récupérer les informations saisies dans vos formulaires de contact ou de prise de rendez-vous ;
• se servir de votre serveur pour attaquer d’autres cibles, en votre nom.

Le sujet est pris très au sérieux : des tentatives d’attaque ont été repérées avant même la publication des correctifs, et le CERT-FR, rattaché à l’ANSSI, a publié une alerte recommandant d’isoler les serveurs non corrigés.

Ce que vous devez vérifier

Bonne nouvelle : la mise à jour se fait sur le serveur qui héberge votre site, pas sur vos ordinateurs. Ce qu’il faut faire dépend de la façon dont votre site est géré.

Votre site est chez un hébergeur (OVHcloud, o2switch, Ionos…)

Les hébergeurs sérieux ont appliqué les correctifs rapidement, et beaucoup ont prévenu leurs clients par e-mail. Pensez à vérifier votre boîte de réception. Dans votre espace client, regardez aussi quelle version de PHP utilise votre site : si elle est inférieure à 8.2, lisez attentivement la partie sur les sites anciens.

Votre site est géré par une agence ou un prestataire

Posez-lui simplement ces trois questions :

1. Mon site a-t-il bien reçu les correctifs PHP du 21 octobre ?
2. Quelle version de PHP utilise-t-il ?
3. Avez-vous vérifié qu’il n’a pas été piraté entre-temps ?

Un prestataire qui assure réellement la maintenance de votre site doit pouvoir vous répondre en quelques minutes.

Vous gérez votre propre serveur

Mettez PHP à jour sans attendre vers une version corrigée : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Sous Linux, passez par les mises à jour de votre distribution : Debian, Ubuntu ou Red Hat intègrent souvent le correctif sans changer le numéro de version affiché.

Le piège des sites anciens

Les versions 8.1, 8.0 et 7.4 de PHP ne sont plus entretenues officiellement. Face à la gravité des failles, l’équipe de PHP a exceptionnellement fourni un correctif de dépannage pour ces versions, repris par certains hébergeurs et distributions Linux. Mais il n’est pas appliqué partout, et il ne s’agit que d’une protection minimale. Pour les versions encore plus anciennes (7.3 et avant), il n’existe aucun correctif.

Ces situations sont fréquentes sur les sites créés il y a plusieurs années et jamais retouchés depuis. Si c’est votre cas, voyez ce correctif comme un sursis : la seule solution durable est de passer à une version récente de PHP. Cela implique souvent de mettre aussi à jour WordPress, le thème et les extensions. Ce n’est pas toujours immédiat, mais c’est indispensable.

Et maintenant ?

L’histoire n’est pas tout à fait terminée : le 23 octobre, une nouvelle faille a été signalée (CVE-2026-115560). Elle est jugée beaucoup plus difficile à exploiter et sera corrigée lors d’une prochaine mise à jour classique. Pas de panique, mais une raison de plus de garder un œil sur les mises à jour.

La vraie leçon de cet épisode : un site internet n’est pas un projet qu’on livre une fois pour toutes. Comme un véhicule, il demande un entretien régulier. Les structures qui ont traversé le 21 octobre sans encombre sont celles dont le site était déjà à jour et suivi.

Pour aller plus loin : PHP : les correctifs pour deux failles critiques sont disponibles (JustGeek).