Faille PHP2Shell : votre site est-il touché ?

Vous avez peut-être vu passer le nom « PHP2Shell » ces derniers jours. La faille PHP2Shell désigne deux failles critiques découvertes dans PHP, le langage sur lequel tournent WordPress et une grande partie des sites web. La réponse courte : un correctif existe depuis le 21 octobre 2026, beaucoup d’hébergeurs l’ont déjà installé, et vous pouvez vérifier en cinq minutes si votre site est protégé.

Nous vous décrivons ici ce qu’est cette faille, comment savoir si votre site est concerné ou a été touché, et comment vous protéger.

Qu’est-ce que la faille PHP2Shell ?

PHP2Shell regroupe deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619. Toutes deux sont classées critiques, avec une note de 9,2 sur 10 ⁽¹⁾. Elles ont été rendues publiques le 20 octobre 2026, et l’équipe de PHP a publié les correctifs le lendemain.

Concrètement, un pirate peut envoyer des requêtes spécialement fabriquées à votre site pour lui faire exécuter son propre code, sans avoir besoin d’identifiant ni de mot de passe. Le problème ne vient pas de WordPress ni de vos extensions, mais de PHP lui-même, le moteur qui fait fonctionner le site sur le serveur.

Pourquoi autant de bruit ? Parce que PHP fait tourner environ 69 % des sites dont la technologie serveur est connue, dont tous les sites WordPress, Drupal, Joomla ou PrestaShop ⁽²⁾. Des chercheurs ont confirmé que des versions de WordPress pouvaient être attaquées de cette façon, et des tentatives d’attaque ont été observées dès le 21 octobre ⁽²⁾.

Mon site est-il concerné par la faille PHP ?

Tout dépend de la version de PHP qu’utilise votre serveur. Les versions corrigées sont les suivantes ⁽¹⁾ :

PHP 8.5 : version 8.5.12 ou plus récente ;
PHP 8.4 : version 8.4.27 ou plus récente ;
PHP 8.3 : version 8.3.36 ou plus récente ;
PHP 8.2 : version 8.2.35 ou plus récente.

Si votre site tourne sur une version plus ancienne (PHP 8.1, 8.0, 7.4…), il n’existe pas de mise à jour officielle : ces versions ne sont plus suivies par PHP. Il faut passer à une version récente, ou vérifier auprès de votre hébergeur qu’il a appliqué un correctif de son côté.

Comment connaître la version de PHP de votre site ?

Sur WordPress, c’est rapide :

connectez-vous à l’administration de votre site ;
allez dans Outils → Santé du site, onglet Informations ;
ouvrez la section Serveur et lisez la ligne « Version de PHP ».

Attention : l’espace client de votre hébergeur affiche souvent seulement « PHP 8.4 », sans le dernier chiffre. Or c’est ce dernier chiffre qui compte. Si vous ne trouvez pas l’information, posez simplement la question à votre hébergeur ou à votre prestataire.

Comment savoir si votre site a été touché ?

Un site à jour aujourd’hui peut avoir été vulnérable pendant quelques heures, voire quelques jours, entre l’annonce de la faille et l’installation du correctif. La mise à jour ferme la porte, mais elle ne fait pas sortir quelqu’un qui serait entré avant. Voici les vérifications à faire :

Les comptes : dans WordPress, allez dans Comptes → Tous les comptes et vérifiez qu’aucun administrateur inconnu n’est apparu.
Les extensions : vérifiez qu’aucune extension n’a été ajoutée sans vous, même désactivée.
Les fichiers : après une attaque, le pirate peut laisser un petit fichier caché sur le serveur pour pouvoir revenir. Le dossier des médias de votre site (wp-content/uploads) ne doit contenir que vos images et vos documents : un fichier en .php n’a rien à y faire. Méfiez-vous aussi des fichiers modifiés depuis le 20 octobre alors que personne n’a touché au site.
Les journaux du serveur : votre hébergeur peut vous fournir les journaux d’accès et d’erreurs. Des erreurs fatales répétées, des messages « Maximum execution time exceeded » ou des rafales d’envois de formulaires inhabituels méritent d’être examinés ⁽³⁾.
Le comportement du site : redirections étranges, publicités qui apparaissent, alerte de Google ou de votre hébergeur.

Une extension de sécurité comme Wordfence peut analyser les fichiers de votre site et repérer ceux qui ne devraient pas s’y trouver. Gardez une limite en tête : l’équipe de PHP rappelle que des journaux sans anomalie ne prouvent pas à eux seuls qu’il ne s’est rien passé ⁽³⁾. En cas de doute, faites-vous accompagner.

Si vous trouvez quelque chose de suspect, ne supprimez rien dans la précipitation : suivez notre guide Site piraté : que faire ? pour agir dans le bon ordre.

Faut-il paniquer ?

Non. Cette faille est sérieuse, mais la situation est sous contrôle pour la grande majorité des sites :

le correctif existe et il a été publié très vite, dès le 21 octobre ;
les correctifs ont circulé en avance : les distributions Linux et les fournisseurs de support à long terme les ont reçus avant leur publication ⁽²⁾, ce qui a permis à de nombreux hébergeurs de mettre à jour leurs serveurs très rapidement ;
l’attaque n’est pas à la portée de tout le monde : elle demande un vrai savoir-faire technique, et sa réussite dépend de la configuration du serveur ⁽¹⁾.

Le vrai risque concerne les sites oubliés : un vieux site vitrine jamais mis à jour, une version de PHP ancienne, un serveur que personne ne surveille. Ce sont eux qu’il faut vérifier en priorité.

Comment se protéger de la faille PHP2Shell ?

La règle est simple : la mise à jour de PHP est la seule protection complète ⁽¹⁾. Selon votre situation :

Hébergement mutualisé (OVH, o2switch, Hostinger, IONOS…) : c’est en général l’hébergeur qui met à jour PHP sur ses serveurs. Vérifiez la version dans Santé du site ; si elle n’est pas encore corrigée, contactez son support.
Serveur dédié ou VPS : la mise à jour est de votre responsabilité, ou de celle de votre prestataire. Elle doit être faite sans attendre.
Version de PHP trop ancienne : prévoyez le passage à une version récente. C’est aussi l’occasion de vérifier que votre thème et vos extensions sont compatibles.

Si la mise à jour ne peut pas être faite tout de suite, des réglages temporaires de PHP réduisent le risque, comme la désactivation de l’option session.upload_progress ⁽³⁾. Ils ne remplacent pas la mise à jour. Les autorités britanniques recommandent même de mettre hors ligne un site qui ne peut être ni corrigé ni protégé ⁽⁴⁾.

Enfin, cette faille rappelle trois bonnes habitudes : des sauvegardes régulières stockées hors du serveur, un pare-feu applicatif (Cloudflare a déployé des règles de protection, y compris dans son offre gratuite ⁽²⁾), et quelqu’un qui surveille les mises à jour de votre site, pas seulement celles de WordPress.

Et chez Lemowise ?

Nos abonnements d’hébergement et de maintenance incluent les mises à jour du site et du serveur, y compris celles de PHP. C’est précisément pour ce genre de situation que nous les proposons : quand une faille comme PHP2Shell tombe, vous n’avez rien à faire, et nous vous tenons informé.

Votre site est hébergé ailleurs ? Contactez-nous : nous vérifions gratuitement sa version de PHP et nous vous disons s’il faut agir.

Faire vérifier mon site →

Questions fréquentes

Mettre à jour WordPress suffit-il à corriger la faille PHP2Shell ?

Non. La faille se trouve dans PHP, pas dans WordPress. Mettre à jour WordPress et vos extensions reste indispensable, mais seule la mise à jour de PHP sur le serveur corrige PHP2Shell.

Mon site est sur un hébergement mutualisé : dois-je faire quelque chose ?

Dans la plupart des cas, l’hébergeur met PHP à jour lui-même. Prenez quand même cinq minutes pour vérifier la version exacte dans Outils → Santé du site, et faites les vérifications de comptes et d’extensions décrites plus haut.

Mon site est à jour : est-ce que j’ai pu être piraté avant ?

C’est possible, même si le risque reste faible pour la plupart des sites. La faille a été rendue publique le 20 octobre 2026 ; si votre serveur a été mis à jour ensuite, vérifiez les comptes, les extensions et les fichiers modifiés depuis cette date.

Mon site ne tourne pas sous WordPress : suis-je concerné ?

Oui, s’il utilise PHP. C’est le cas de Drupal, Joomla, PrestaShop, Magento, Laravel ou d’un site développé sur mesure en PHP. Les sites faits avec Wix, Shopify ou Squarespace sont gérés par ces plateformes, qui s’occupent elles-mêmes de leurs serveurs.

Sources :

(1) PHP – Avis de sécurité GHSA-w8hw-w9fx-j79w (CVE-2026-109618, en anglais)

(2) Tenable – php2shell : questions fréquentes (en anglais)

(3) PHP – Avis de sécurité GHSA-6wmf-4rv5-p3rp (CVE-2026-109619, en anglais)

(4) NCSC (Royaume-Uni) – Critical security issue affecting PHP (en anglais)