Le 21 octobre 2026, le projet PHP a publié en urgence la correction de deux failles critiques, surnommées PHP2Shell. Elles permettent à un pirate de prendre le contrôle du serveur qui héberge un site, sans mot de passe. Elles avaient déjà été exploitées avant la sortie du correctif, et l’agence américaine de cybersécurité (CISA) demande de les corriger immédiatement.
Si votre site tourne sous WordPress, PrestaShop, Joomla ou Drupal, vous êtes peut-être concerné. Voici comment le savoir et quoi faire, sans jargon.
Vérifiez votre site en 10 secondes avec notre outil gratuit : il lit la version de PHP que votre site affiche et vous dit si elle est concernée.
Qu’est-ce que PHP, et pourquoi votre site est concerné
PHP est le langage dans lequel sont écrits WordPress, PrestaShop et la plupart des sites de commerçants et d’artisans. Il tourne sur le serveur de votre hébergeur, invisible pour vous.
La faille n’est ni dans votre thème, ni dans vos extensions : elle est dans PHP lui-même. Mettre à jour WordPress ne suffit donc pas. C’est la version de PHP installée chez votre hébergeur qui compte. Toutes les versions depuis PHP 5.4 sont touchées.
Les versions corrigées
| Votre version de PHP | Version corrigée |
|---|---|
| 8.5 | 8.5.12 ou plus |
| 8.4 | 8.4.27 ou plus |
| 8.3 | 8.3.36 ou plus |
| 8.2 | 8.2.35 ou plus |
| 8.1, 8.0, 7.x et avant | plus de correctif officiel : il faut changer de version |
Si votre site tourne encore en PHP 7 ou 8.1, c’est le moment de passer à une version récente. Ces versions ne reçoivent plus de mises à jour de sécurité, et ce ne sera pas la dernière faille.
Comment connaître votre version de PHP
Trois façons, de la plus simple à la plus sûre :
- Notre outil gratuit : vérifier mon site. Il lit la version que votre serveur affiche publiquement. Beaucoup d’hébergeurs la masquent, ce qui est une bonne pratique : dans ce cas, passez aux méthodes suivantes.
- Depuis WordPress : dans l’administration, menu Outils, puis Santé du site, onglet Informations, rubrique Serveur. La ligne « Version de PHP » vous donne le numéro exact.
- Depuis l’espace client de votre hébergeur : la plupart des hébergeurs mutualisés affichent la version de PHP de chaque site, et permettent d’en changer.
Attention à un piège : certains hébergeurs appliquent le correctif sans changer le numéro de version. Un numéro ancien n’est donc pas une preuve que votre site est exposé. Seul votre hébergeur peut le confirmer.
Que faire, concrètement
Si vous êtes sur un hébergement mutualisé
C’est le cas de la plupart des petits sites. Votre hébergeur gère PHP pour vous :
- Vérifiez dans votre espace client si une version corrigée est disponible, et choisissez-la. Si vous êtes sur une version ancienne, passez à PHP 8.3 ou 8.4.
- Faites une sauvegarde complète du site (fichiers et base de données) avant de changer de version.
- Mettez à jour WordPress, votre thème et vos extensions juste avant : les anciennes extensions peuvent ne pas fonctionner avec un PHP récent.
- Vérifiez le site après le changement : pages, formulaire de contact, paiement s’il y en a un.
- En cas de doute, écrivez à votre hébergeur : « Mon site est-il protégé contre PHP2Shell (CVE-2026-109618 et CVE-2026-109619) ? »
Si vous avez un serveur dédié ou un VPS
Personne ne le fera à votre place : il faut installer la version corrigée de PHP (ou le paquet corrigé de votre distribution Linux), puis redémarrer le service web. Les réglages provisoires qui circulent (désactiver session.upload_progress, par exemple) ne protègent que partiellement : seule la mise à jour corrige vraiment.
Si un prestataire gère votre site
Demandez-lui par écrit s’il a appliqué le correctif, et à quelle date. C’est une question légitime : un site piraté peut vous coûter vos clients, votre référencement Google et des données personnelles dont vous êtes responsable.
Les signes qu’un site a déjà été piraté
La faille ayant été exploitée avant le correctif, faites vérifier votre site si vous constatez :
- des pages ou des liens que vous n’avez pas créés, souvent en anglais ou vers des sites de casino ou de pharmacie ;
- un compte administrateur inconnu dans WordPress ;
- des visiteurs redirigés vers un autre site, surtout depuis Google ou depuis un mobile ;
- un avertissement de Google (« Ce site a peut-être été piraté ») ou de votre hébergeur.
Dans ce cas, mettre PHP à jour ne suffit plus : il faut nettoyer le site et changer tous les mots de passe.
En résumé
- La faille est dans PHP, pas dans WordPress : c’est votre hébergement qu’il faut vérifier.
- Versions corrigées : 8.5.12, 8.4.27, 8.3.36, 8.2.35. En dessous de 8.2, changez de version.
- Sauvegardez avant toute modification, et vérifiez le site après.
Vous ne savez pas par où commencer ? Vérifiez votre site gratuitement, ou demandez-nous de le faire : on regarde votre hébergement, on met PHP et WordPress à jour, et on contrôle qu’il n’y a pas eu d’intrusion.
Sources
- CISA, Critical Vulnerabilities in PHP Require Immediate Patching, 21 octobre 2026
- Datadog Security Labs, PHP2Shell : détection, analyse et correction
- Palo Alto Networks Unit 42, Threat Brief PHP2Shell
- Sophos, avis de sécurité PHP2Shell
sécuritéwordpressphphébergement
KlarkLabs
Un site que Google affiche et que les IA citent
Création de site dès 499 €, en ligne en 48 h. Ou l’offre Site + GEO avec le suivi mensuel de vos citations.