PHP2Shell : ce que les failles critiques de PHP signifient pour votre site d'entreprise

Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité d'urgence pour deux failles critiques surnommées « PHP2Shell » : CVE-2026-109618 et CVE-2026-109619. Les deux sont notées 9,2 sur 10 (CVSS v4.0). Le Centre canadien pour la cybersécurité les décrit comme des failles d'utilisation après libération (use-after-free) qui pourraient permettre à un attaquant non authentifié d'exécuter son propre code sur un serveur, c'est-à-dire sans mot de passe ni compte.

PHP fait tourner une grande partie du web, dont WordPress et de nombreux sites sur mesure. Le 23 octobre, PHP a divulgué une troisième faille, CVE-2026-115560. Les mises à jour du 21 octobre ne la corrigent pas, et son exploitation exige une combinaison inhabituelle de paramètres PHP et de code applicatif.

Qui est touché

Tout site qui utilise PHP peut être touché, et les failles remontent loin. Les versions corrigées sont :

PHP 8.5 : corrigé en 8.5.12
PHP 8.4 : corrigé en 8.4.27
PHP 8.3 : corrigé en 8.3.36
PHP 8.2 : corrigé en 8.2.35
PHP 8.1 et antérieur : aucun correctif officiel (fin de vie)

Un code d'exploitation public existe. Sophos a observé des balayages et quelques tentatives échouées, sans compromission confirmée au 22 octobre, et estime qu'un exploit fiable est difficile à construire. Le Centre pour la cybersécurité prévient que la situation peut changer vite. C'est urgent, sans qu'il y ait lieu de paniquer.

Quoi faire cette semaine

Le seul correctif complet est de mettre à jour PHP lui-même. Les extensions, les thèmes et un pare-feu ne le remplacent pas.

Trouvez votre version de PHP. Votre développeur ou le panneau de contrôle de votre hébergeur l'indique.
Mettez PHP à jour sur le serveur. En hébergement partagé, c'est l'hébergeur qui contrôle la version corrective. Demandez-lui par écrit si les correctifs du 21 octobre sont en place.
Quittez PHP 8.1 et les versions antérieures. Planifiez la migration vers une version prise en charge et testez votre site d'abord.
Appliquez le réglage provisoire. Tant que CVE-2026-115560 n'est pas corrigée, le Centre recommande de définir session.upload_progress.enabled=0 dans PHP.
Cherchez des signes de problème. Vérifiez les journaux (requêtes étranges) et cherchez des fichiers, comptes ou processus inattendus.
Gardez une sauvegarde récente stockée ailleurs que dans votre compte d'hébergement.

Ce qu'ont dit les hébergeurs

La plupart des gens n'exploitent pas PHP eux-mêmes : c'est leur hébergeur qui le fait. La bonne question est donc ce que le vôtre dit avoir fait. Voici où en étaient plusieurs grands fournisseurs au 24 octobre 2026. Chaque énoncé est la parole de l'hébergeur : « protégé » signifie généralement des règles de pare-feu ou une plateforme gérée, ce qui n'équivaut pas au correctif PHP.

Hostinger

Hostinger affirme que l'exploit en circulation « n'a pas fonctionné contre nos serveurs » et qu'elle n'a constaté aucune hausse de logiciels malveillants ni d'activité inhabituelle. Elle a bloqué les schémas d'attaque connus avec des règles de pare-feu le 21 octobre, désactivé session.upload_progress sur ses configurations LiteSpeed, PHP Selector et cPanel PHP-FPM, et terminé l'installation des versions corrigées de PHP le 22 octobre à 06 h 44 UTC. Tous les forfaits Hostinger sauf VPS ne nécessitent aucune action du client. Sur un VPS, vous gérez PHP vous-même : mettez-le à jour, ou réglez session.upload_progress.enabled à Off dans php.ini ou la configuration du pool PHP-FPM, puis redémarrez PHP (le faire avec ini_set ne fonctionne pas). Hostinger précise que ses versions corrigées peuvent garder le même numéro de version : vérifiez la date de compilation (Build Date) dans Tableau de bord, PHP Info. Le 21 octobre 2026 ou après signifie que le correctif est présent.

Autres hébergeurs

Le suivi indépendant d'ActiveSet consigne ce que chaque hébergeur a publié (il ne teste pas les serveurs). Au 24 octobre :

Corrigé : SiteGround, Kinsta, WP Engine, Cloudways, DreamHost, Namecheap
Partiellement corrigé : GoDaddy (WordPress géré, Windows et hébergement Web faits; vérifiez une version datée du 21 octobre ou après; le VPS est autogéré), A2 Hosting (VPS autogéré exclu), OVHcloud
Correction en cours : Bluehost, HostGator, Liquid Web, Nexcess
Protégé, selon l'hébergeur : WordPress.com, Pressable
Autogéré, à vous de mettre à jour : DigitalOcean, AWS

Aucun hébergeur des synthèses consultées n'a affirmé que sa plateforme n'était pas touchée, et le suivi ne contient aucun hébergeur canadien. Cloudflare a déployé des règles de pare-feu pour tous ses clients, mais son directeur technique les a qualifiées de mesure provisoire.

Ce que cela signifie pour vous

Hébergement partagé ou géré : votre hébergeur s'occupe de PHP. Demandez une confirmation écrite.
VPS, infonuagique ou serveur dédié : la mise à jour vous revient.
PHP ancien : certains hébergeurs rétroportent les correctifs pour PHP 8.1 et moins, d'autres non. Demandez au vôtre.

FAQ

Mon site WordPress est-il touché? WordPress fonctionne sur PHP : il l'est si le PHP du serveur n'est pas corrigé. Le correctif est la mise à jour de PHP sur le serveur, pas celle d'une extension.

La mise à jour de PHP peut-elle casser mon site? Elle le peut, surtout avec du code personnalisé ancien ou de vieilles extensions. Testez la nouvelle version d'abord et gardez une sauvegarde.

Mes données ont-elles été volées? Rien de public ne le laisse croire, mais corrigez quand même et vérifiez vos journaux.

Dois-je reconstruire mon site? Non. Passer à une version de PHP prise en charge est un changement côté serveur.

Besoin d'aide pour vérifier votre site ou planifier une mise à niveau de PHP sans risque? Contactez GoshenWebX.