Faille « PHP2Shell » : si votre site tourne sous PHP, faites la mise à jour maintenant

Ce qui se passe

PHP fait tourner une grande partie des sites web, dont beaucoup de sites WordPress de TPE et d'associations. Le 21 octobre, PHP a corrigé deux failles critiques baptisées « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619). Elles permettent à un pirate d'exécuter du code sur le serveur, sans compte : vol de données, site piraté, serveur utilisé pour d'autres attaques.

Les attaques ont été immédiates. Cloudflare a observé des dizaines de milliers de tentatives dans les 45 minutes après l'annonce, puis plusieurs millions le lendemain. Le CERT-FR (ANSSI) a publié une alerte et signale des preuves de concept fonctionnelles.

Êtes-vous concerné ?

• Votre site ou votre application utilise PHP (WordPress, PrestaShop, Joomla, sites sur mesure…).
• Votre version de PHP est antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
• Vous utilisez encore PHP 5, 7, 8.0 ou 8.1 : ces versions ne sont plus maintenues et ne recevront pas de correctif.

Le bon réflexe

• Passez à une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récente). Sur un hébergement mutualisé, vérifiez la version dans votre espace client ou demandez à votre hébergeur.
• Sur un ancien PHP, prévoyez la migration vers une version maintenue. En attendant, isolez le serveur si possible.
• Mesure d'appoint, en attendant le correctif : désactivez `session.upload_progress.enabled` dans php.ini. Le 23 octobre, PHP a aussi signalé une troisième faille, moins probable (CVE-2026-115560), que ce même réglage neutralise.
• Surveillez les journaux du serveur (commandes inhabituelles lancées par PHP, fichiers inconnus) et changez les mots de passe en cas de doute.
• Victime ? Coupez l'accès au site, prévenez votre hébergeur, faites-vous aider via Cybermalveillance.gouv.fr et portez plainte.

Sources : CERT-FR, 22/10/2026, The Hacker News, 23/10/2026