Tutoriels · Faille PHP 2026-10-21

Votre site tourne sous PHP ? Mettez-le à jour maintenant.

Une très grande partie des sites web (WordPress, PrestaShop, Joomla, Drupal, Laravel…) fonctionne avec PHP. Les deux failles découvertes permettent à un pirate de prendre le contrôle du serveur à distance, sans mot de passe.

Alerte – 21 octobre 2026. PHP a publié des correctifs d'urgence pour deux failles critiques surnommées PHP2Shell. Une tentative d'attaque a été observée dès le 17 octobre, avant l'annonce publique.

Votre site est fait avec WordPress, WooCommerce, PrestaShop, Joomla ou Drupal ? Alors il utilise PHP, et vous êtes concerné. Sur un hébergement web classique (OVHcloud, o2switch, Hostinger…), c'est en général l'hébergeur qui installe le correctif : votre rôle est de vérifier que c'est fait.

Par où commencer ?

Je suis développeur ou administrateur → Diagnostic, mise à jour selon votre système, pièges à éviter, mesures provisoires et vérification. Je ne suis pas technicien → On vous dit quoi faire selon votre situation, avec des messages tout prêts pour votre hébergeur et un texte à coller dans ChatGPT, Claude, Mistral ou Gemini si vous voulez être guidé.

En bref

Failles	CVE-2026-109618 et CVE-2026-109619 (« PHP2Shell »)
Gravité	Critique – 9,2 / 10 (CVSS v4.0)
Conséquence	Un pirate peut prendre le contrôle du serveur sans mot de passe, quelle que soit l'application (exécution de code à distance)
Versions vulnérables	Toutes les versions antérieures aux versions corrigées ci-dessous, y compris les anciennes (5.x, 7.x, 8.0, 8.1)
Versions corrigées	8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 (ou plus récentes)
PHP 8.1 et plus ancien	Plus maintenu par PHP. Si votre distribution Linux le fournit encore (Ubuntu 22.04, RHEL 8 et 9…), elle publie son propre correctif. Sinon : correctif « source » pour 7.4, 8.0 et 8.1, support étendu payant, ou passage à 8.2 minimum.
Solution	La mise à jour est la seule protection complète. Les réglages de contournement ne protègent que partiellement.

Pourquoi c'est grave, expliqué simplement

Imaginez que votre site soit une boutique. Avec ces failles, le cambrioleur n'a pas besoin de casser la vitrine : il a directement les clés de l'arrière-boutique. Il peut voler les données de vos clients, installer un logiciel malveillant, envoyer des spams depuis votre serveur ou effacer votre site.

Il n'a besoin ni de mot de passe ni d'une erreur de votre part : il suffit que votre serveur utilise une version de PHP non corrigée. Certains sites se sont d'ailleurs mis en maintenance le temps de faire la mise à jour.

Méfiez-vous des faux outils. De faux programmes de « test de vulnérabilité » circulent déjà sur GitHub et contiennent du code malveillant. N'exécutez jamais un script que vous ne comprenez pas ou dont vous ne connaissez pas l'origine. Ce guide ne vous fera jamais télécharger d'outil de détection. Il n'utilise que des commandes standard, expliquées une par une, et les outils de votre hébergeur.

Sources officielles

Dernière mise à jour des informations : 22 octobre 2026. La situation évolue : vérifiez toujours les sources officielles ci-dessus. Ce site est une initiative de prévention indépendante, sans lien avec le projet PHP. Les guides sont fournis sans garantie : faites une sauvegarde avant toute intervention.