En bref
- PHP2Shell (CVE-2026-109618 et CVE-2026-109619, gravité 9.2 sur 10) : exécution de code à distance, sans authentification.
- Corrigée dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et plus ancien n'ont plus de correctif officiel.
- Des tentatives d'attaque sont déjà observées. Le risque est le plus élevé avec Apache et PHP intégré (mod_php).
Tout comprendre et vérifier toi-même
Ce que fait cet outil
Il charge ta page d'accueil comme un navigateur, et au besoin la page de connexion WordPress, puis lit les en-têtes et le code reçus. Il ne tente aucune attaque, ne scanne rien, et ne garde ni l'adresse testée ni ton adresse IP. Pas de cookie, aucun service tiers. Sa limite : il ne voit que ce que ton site montre publiquement.