Qu’est-ce que PHP2Shell ?

PHP2Shell est le surnom donné à deux failles critiques dans PHP, le langage sur lequel reposent la plupart des sites web, dont tous les sites WordPress. Elles ont été rendues publiques le 21 octobre 2026, en même temps que leur correctif. Pour votre prestataire : il s’agit de CVE-2026-109618 et CVE-2026-109619, notées 9,2 (CVSS v4.0) par l’équipe de sécurité de PHP, qui permettent une exécution de code à distance sans authentification, avec les droits du processus web.

Mon site WordPress est-il concerné ?

WordPress fonctionne avec PHP : un site WordPress est donc concerné tant que le serveur qui l’héberge n’a pas été mis à jour. Mettre à jour WordPress ou ses extensions ne suffit pas : la mise à jour se fait sur le serveur, géré par votre hébergeur ou votre prestataire. Selon PHP, toutes les installations qui traitent des requêtes web sont à risque, dont PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Il en va de même pour Joomla, Drupal, PrestaShop, Magento et les autres sites en PHP.

Quelles versions de PHP sont corrigées ?

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ou ultérieures. Les versions antérieures de ces branches sont concernées. PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP ; certaines distributions Linux et certains éditeurs proposent des correctifs rétroportés, sinon le site doit migrer vers une version maintenue.

Que recommande le CERT-FR ?

Dans son alerte CERTFR-2026-ALE-014 du 21 octobre 2026, le CERT-FR renvoie aux correctifs de l’éditeur et recommande, pour les versions qui ne sont plus maintenues, d’isoler les équipements concernés puis de migrer vers une version maintenue et à jour. Il liste des contournements provisoires, non qualifiés, qui ne réduisent qu’une partie de la surface d’attaque.

Existe-t-il un contournement si l’on ne peut pas mettre à jour aujourd’hui ?

Les avis de PHP et du CERT-FR listent des mesures de configuration qui réduisent certains chemins d’attaque, comme la désactivation de session.upload_progress.enabled ou des réglages de memory_limit et post_max_size. Elles ne protègent pas complètement. Elles concernent l’administrateur du serveur ; un dirigeant doit plutôt demander la mise à jour à son hébergeur.

Que regarde la vérification gratuite ?

Uniquement ce que votre site montre à n’importe quel visiteur : la version de PHP qu’il annonce, s’il en annonce une, et la plateforme sur laquelle il semble construit. Nous ne nous connectons pas, nous ne testons pas les failles et nous ne touchons pas à votre site. Beaucoup de sites masquent leur version de PHP, ce qui est une bonne pratique ; dans ce cas nous vous le disons, avec les questions exactes à poser à votre hébergeur.

Nouvelle faille rendue publique le 21 oct. 2026

Votre site est-il À L’ABRI de la nouvelle faille ?

Des pirates ont trouvé une nouvelle porte d’entrée dans les sites web. Nous vérifions le vôtre gratuitement, sans jargon.

Vérification gratuite en 24h

Un pirate n’a pas besoin de votre mot de passe : il lui suffit d’accéder à votre site.
Un site exposé fonctionne normalement : impossible de le voir à l’œil nu.
La solution : une simple mise à jour, faite par votre hébergeur ou votre prestataire web.

C’est du sérieux. Vérifiez par vous-même :

Comment ça marche

Indiquez l’adresse de votre site
Et votre e-mail. C’est tout : 20 secondes.
Nous regardons de l’extérieur
Comme n’importe quel visiteur. Pas de mot de passe, pas de connexion, rien d’installé, rien de modifié.
Vous recevez une réponse claire sous 24h
Vert, orange ou rouge, sans jargon, avec le message exact à envoyer à votre hébergeur ou à votre prestataire.

Ce que vous recevez

Un e-mail court avec un statut clair. Pas de jargon, pas de rapport de 40 pages.

Semble à jour. Rien à faire. Nous vous expliquons pourquoi.
Impossible à confirmer de l’extérieur. C’est fréquent, et ce n’est pas une mauvaise nouvelle. Vous recevez une question simple à poser à votre hébergeur.
Semble obsolète. Votre site doit être mis à jour. Vous recevez le message exact à envoyer dès aujourd’hui.

Exemple de résultatvotre-entreprise.fr

Statut : Orange, demandez confirmation à votre hébergeur

Réalisé avec WordPress, qui repose sur le logiciel concerné
Version du logiciel : masquée au public (bonne pratique)
Aucun signe visible d’une ancienne version non maintenue

À faire : envoyez le message ci-dessous à votre hébergeur et demandez-lui une confirmation par e-mail.

« Bonjour, pouvez-vous me confirmer que notre site est à jour face aux failles PHP rendues publiques le 21 octobre 2026 (PHP2Shell) ? Merci de m’indiquer la date de la mise à jour. »

Pourquoi vérifier maintenant, et pas le mois prochain

Jour 1Des attaques ont été observées dès le début. Cloudflare, un grand acteur de la sécurité sur internet, a vu du trafic d’attaque viser les sites qu’il protège, avant même la sortie du correctif.
Même l’Étata coupé par précaution les sites des préfectures, à la demande de l’ANSSI, le temps d’appliquer le correctif (franceinfo).
7 sur 10des sites web reposent sur le logiciel concerné, dont tous les sites WordPress (W3Techs).
1 mise à joursuffit. Votre hébergeur ou votre prestataire s’en charge, en général rapidement. Beaucoup d’hébergeurs le font d’office : encore faut-il en être sûr.

Cela ne veut pas dire que votre site a été piraté. Cela veut dire qu’il vaut mieux savoir où vous en êtes cette semaine.

Les questions que vous vous posez

C’est vraiment gratuit ?

Oui. Sans carte bancaire, sans engagement, sans rendez-vous commercial. Vous recevez la réponse par e-mail sous 24h. Ensuite, nous vous recontacterons une fois au maximum pour vous proposer notre aide ; un simple « non merci » suffit.

Avez-vous besoin d’un accès à mon site ?

Non. Nous ne demandons jamais de mot de passe, nous ne nous connectons pas et nous ne modifions rien. Nous regardons uniquement ce que n’importe quel visiteur voit déjà, comme un passant devant une vitrine.

Et si mon site est exposé ?

Nous vous disons exactement quoi demander à votre hébergeur ou à votre prestataire web, dans un court message prêt à copier. Le plus souvent, la correction est une mise à jour courante de leur côté, et beaucoup d’hébergeurs la font pour leurs clients. La vérification n’inclut pas la réparation de votre site, et nous ne vous pousserons jamais à acheter quoi que ce soit.

Est-ce que cela veut dire que mon site a été piraté ?

Non. La faille signifie qu’un site doit être mis à jour, pas qu’il a été attaqué. Notre vérification ne permet pas de savoir si un site a été piraté, et nous ne prétendrons pas le contraire. Si vous voyez un jour des pages que vous n’avez pas créées, un avertissement de Google sur votre site ou des e-mails que vous n’avez pas envoyés, contactez sans attendre votre hébergeur ou votre prestataire.

Qui êtes-vous ?

Pixelmosa est une petite agence parisienne de création de sites et de référencement, au service d’entreprises dirigées par leurs fondateurs. Créer et entretenir des sites, c’est notre métier : les mises à jour font partie de notre quotidien. Nous proposons cette vérification gratuite parce que la plupart des dirigeants ne savent pas sur quoi repose leur site, et que l’actualité sur cette faille est pleine de jargon.

Que faites-vous de mes données ?

Nous utilisons l’adresse de votre site et votre e-mail pour faire la vérification, vous envoyer le résultat et vous relancer une fois au maximum. Nous ne les vendons pas et vous pouvez demander leur suppression à tout moment. Tous les détails sont sur notre page Confidentialité.

Sachez sous 24h si votre site est À L’ABRI.

Gratuit. Sans mot de passe. On ne touche pas à votre site.

Recevoir ma vérification gratuite

Détails techniques pour votre prestataire web

Tout ce qui suit s’adresse à la personne qui gère votre site ou votre serveur. Vous pouvez lui transmettre cette page.

PHP2Shell (CVE-2026-109618 et CVE-2026-109619), de quoi s’agit-il ?

PHP2Shell désigne deux vulnérabilités dans PHP lui-même, et non dans une extension ou un thème. Elles viennent du même problème : PHP peut laisser sa mémoire dans un état corrompu lorsqu’une requête se termine anormalement. L’équipe de sécurité de PHP les note toutes deux 9,2 (CVSS v4.0). Aucune ne nécessite d’authentification. Le CERT-FR les classe en risque d’exécution de code arbitraire à distance.

CVE-2026-109618 (avis GHSA-w8hw-w9fx-j79w) : exécution de code à distance via la gestion des dépassements de mémoire. PHP indique avoir validé une exécution de code complète en HTTP sur Apache avec mod_php, avec la configuration par défaut.
CVE-2026-109619 (avis GHSA-6wmf-4rv5-p3rp) : exécution de code à distance via un état interne qui survit d’une requête à l’autre. Les impacts confirmés incluent la divulgation de mémoire et l’exécution de code avec les droits du processus web.

Versions affectées et versions corrigées

Selon le CERT-FR, sont affectées toutes les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, ainsi que les branches 8.2 à 8.5 avant les versions ci-dessous.

Versions corrigées de PHP2Shell (source : avis de sécurité PHP et CERT-FR)
Branche PHP	Affectée	Version sûre
PHP 8.5	Avant 8.5.12	8.5.12 ou ultérieure
PHP 8.4	Avant 8.4.27	8.4.27 ou ultérieure
PHP 8.3	Avant 8.3.36	8.3.36 ou ultérieure
PHP 8.2	Avant 8.2.35	8.2.35 ou ultérieure
PHP 8.1, 8.0, 7.x et antérieures	Plus de mise à jour officielle du projet PHP	Migrer vers une version maintenue, ou obtenir un correctif rétroporté auprès de sa distribution ou d’un éditeur

Comment corriger

Vérifier la version exacte de PHP qui sert le site (pas seulement la branche).
Mettre à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou ultérieure, puis redémarrer PHP pour que la version corrigée soit bien celle qui répond.
En PHP 8.1 ou plus ancien : obtenir un correctif rétroporté auprès de sa distribution ou d’un éditeur, ou planifier la migration. Le CERT-FR recommande d’isoler ces équipements en attendant.
Vérifier les autres instances PHP du même serveur : copies de test, anciens sous-domaines, panneaux d’administration, outils.

Les avis de PHP précisent que seule la mise à jour corrige complètement le problème. Cloudflare indique avoir observé du trafic d’attaque visant ses clients après une fuite des détails avant la publication officielle, et avoir déployé des protections sur tous ses plans de pare-feu applicatif, y compris gratuit, tout en recommandant de mettre PHP à jour.

Le message que nous conseillons d’envoyer à votre hébergeur ou à votre prestataire

Quelle version exacte de PHP fait tourner notre site aujourd’hui (par exemple 8.3.36) ?
Est-elle égale ou supérieure à l’une des versions corrigées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ?
Si nous sommes en PHP 8.1 ou plus ancien : disposons-nous d’un correctif rétroporté, et quand pouvons-nous passer à une version maintenue ?
PHP a-t-il été redémarré après la mise à jour, pour que la version corrigée soit bien celle qui sert les pages ?
Avons-nous d’autres endroits où tourne PHP (copie de test, ancien sous-domaine, panneau d’administration, outil sur le même serveur) ? Sont-ils à jour eux aussi ?
Pouvez-vous me confirmer ces réponses par e-mail, avec la date de la mise à jour ?

L’ouvrir dans un e-mail

Questions techniques

Qu’est-ce que PHP2Shell ?: PHP2Shell est le surnom donné à deux failles critiques dans PHP, le langage sur lequel reposent la plupart des sites web, dont tous les sites WordPress. Elles ont été rendues publiques le 21 octobre 2026, en même temps que leur correctif. Pour votre prestataire : il s’agit de CVE-2026-109618 et CVE-2026-109619, notées 9,2 (CVSS v4.0) par l’équipe de sécurité de PHP, qui permettent une exécution de code à distance sans authentification, avec les droits du processus web.
Mon site WordPress est-il concerné ?: WordPress fonctionne avec PHP : un site WordPress est donc concerné tant que le serveur qui l’héberge n’a pas été mis à jour. Mettre à jour WordPress ou ses extensions ne suffit pas : la mise à jour se fait sur le serveur, géré par votre hébergeur ou votre prestataire. Selon PHP, toutes les installations qui traitent des requêtes web sont à risque, dont PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Il en va de même pour Joomla, Drupal, PrestaShop, Magento et les autres sites en PHP.
Quelles versions de PHP sont corrigées ?: Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ou ultérieures. Les versions antérieures de ces branches sont concernées. PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP ; certaines distributions Linux et certains éditeurs proposent des correctifs rétroportés, sinon le site doit migrer vers une version maintenue.
Que recommande le CERT-FR ?: Dans son alerte CERTFR-2026-ALE-014 du 21 octobre 2026, le CERT-FR renvoie aux correctifs de l’éditeur et recommande, pour les versions qui ne sont plus maintenues, d’isoler les équipements concernés puis de migrer vers une version maintenue et à jour. Il liste des contournements provisoires, non qualifiés, qui ne réduisent qu’une partie de la surface d’attaque.
Existe-t-il un contournement si l’on ne peut pas mettre à jour aujourd’hui ?: Les avis de PHP et du CERT-FR listent des mesures de configuration qui réduisent certains chemins d’attaque, comme la désactivation de session.upload_progress.enabled ou des réglages de memory_limit et post_max_size. Elles ne protègent pas complètement. Elles concernent l’administrateur du serveur ; un dirigeant doit plutôt demander la mise à jour à son hébergeur.
Que regarde la vérification gratuite ?: Uniquement ce que votre site montre à n’importe quel visiteur : la version de PHP qu’il annonce, s’il en annonce une, et la plateforme sur laquelle il semble construit. Nous ne nous connectons pas, nous ne testons pas les failles et nous ne touchons pas à votre site. Beaucoup de sites masquent leur version de PHP, ce qui est une bonne pratique ; dans ce cas nous vous le disons, avec les questions exactes à poser à votre hébergeur.

Sources

Autorités françaises

Projet PHP (en anglais)

Presse française (21 octobre 2026)

Acteurs de la sécurité (en anglais)

Cette page résume des avis publics pour un lecteur non technicien. Elle ne constitue pas un conseil juridique ou de sécurité. Informations à jour au 21 oct. 2026.

Votre site est-il À L’ABRI! de la nouvelle faille ?