Mis à jour le 21 octobre 2026
La faille PHP2Shell, expliquée simplement
Deux failles de PHP, publiées le 21 octobre 2026, permettent d'exécuter du code sur un serveur à distance, sans mot de passe. Voici ce qu'il faut savoir et comment vérifier ton site.
De quoi s'agit-il ?
CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell », ont une note de gravité de 9.2 sur 10. Elles permettent à un attaquant d'exécuter du code sur le serveur, sans être connecté. Toutes les versions de PHP depuis la 5.4 sont touchées, et des tentatives d'attaque sont déjà observées.
Le risque est le plus élevé avec Apache et PHP intégré (mod_php), une configuration encore courante chez les hébergeurs mutualisés.
Les versions corrigées
| Branche | Corrigée dès |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 et avant | Plus de correctif officiel |
Les distributions Linux (Debian, Ubuntu, Red Hat…) publient parfois le correctif sous un ancien numéro de version. Un numéro « ancien » n'est donc pas forcément vulnérable : seul ton hébergeur peut le confirmer.
Vérifier toi-même
- Si ton site tourne sous WordPress, ta version de PHP est indiquée dans Outils › Santé du site › Informations › Serveur.
- Sinon, regarde dans l'espace client de ton hébergeur, souvent sous « Version PHP ».
- Demande à ton hébergeur : « Le correctif PHP du 21 octobre 2026 (CVE-2026-109618 et CVE-2026-109619) est-il appliqué sur mon serveur ? »
- Si tu es en PHP 8.1 ou plus ancien, il n'y a plus de correctif officiel : passe à PHP 8.3 ou plus récent.
- Avant de changer de version, teste sur une copie du site : une extension ancienne peut ne pas suivre.
Coller ma version pour avoir le verdict
Ce que fait le vérificateur, et ses limites
Il visite ta page d'accueil comme un navigateur (et au besoin la page de connexion WordPress) et lit ce qu'elle montre : les en-têtes HTTP, le nom des cookies, les chemins des fichiers. Il ne tente aucune attaque et ne garde rien.
Il ne voit que ce que ton site montre publiquement. Beaucoup de sites cachent leur version de PHP, ce qui est une bonne pratique : dans ce cas, colle ta version pour avoir un verdict.