Faille PHP2Shell d'octobre 2026 : ce qu'il faut vérifier sur votre site

Les informations de cet article sont celles publiées jusqu'au 25 octobre 2026 par l'équipe de PHP, le CERT-FR et les hébergeurs.

Que s'est-il passé ?

PHP est le langage dans lequel sont écrits WordPress, WooCommerce, PrestaShop, Joomla et une bonne partie des sites sur mesure. WordPress fait tourner à lui seul près de 40 % des sites web dans le monde, selon W3Techs.

Le 21 octobre, l'équipe de PHP a publié quatre nouvelles versions, 8.2.35, 8.3.36, 8.4.27 et 8.5.12, et demandé à tout le monde de mettre à jour « immédiatement ». Les deux failles corrigées, CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur 10.

Le point qui change tout : la faille est dans PHP lui-même, pas dans votre site. Elle se déclenche avant même que le code de WordPress ou de votre boutique ne commence à s'exécuter. Un site parfaitement entretenu, avec ses extensions à jour, était donc aussi exposé qu'un site abandonné.

Et les attaques n'ont pas attendu. Le pot de miel d'Amazon, un faux serveur installé pour observer les pirates, a enregistré une première tentative le 17 octobre, quatre jours avant le correctif. L'agence nationale de cybersécurité, à travers son CERT-FR, a publié une alerte le jour même.

Votre site est-il concerné ?

Tout site qui fonctionne avec PHP est concerné : WordPress, WooCommerce, PrestaShop, Joomla, Drupal, ou un site développé sur mesure en PHP.

Si votre site est sur Wix, Shopify, Squarespace ou Webador, vous n'avez rien à faire. Le serveur appartient à la plateforme, c'est à elle d'appliquer les correctifs, et vous n'y avez de toute façon pas accès.

Pour tous les autres, la bonne question n'est pas « mon site est-il en PHP ? » mais « qui s'occupe du serveur ? ».

Vous ne savez pas ce que vous avez ? Regardez votre facture d'hébergement : un VPS ou un serveur dédié est toujours nommé comme tel. Si vous payez quelques euros par mois pour « un hébergement web », c'est presque toujours du mutualisé.

Hébergement mutualisé : ce que les hébergeurs ont fait

Sur un hébergement mutualisé, des centaines de sites partagent le même serveur, et c'est l'hébergeur qui installe PHP pour tout le monde. Vous choisissez seulement la famille de versions (8.2, 8.3, 8.4...), il se charge du reste.

o2switch a déployé les correctifs à partir du 21 octobre sur toutes les versions de PHP qu'il propose, de la 5.2 à la 8.5, et désactivé par défaut le réglage par lequel passait l'une des deux failles. Détail à connaître : le numéro de version affiché ne change pas forcément, parce que les correctifs ont été recompilés dans l'urgence. C'est la date de compilation, le 21 octobre 2026, qui fait foi.

OVHcloud a annoncé le 21 octobre le déploiement automatique des versions corrigées sur ses hébergements web, sans action de la part des clients.

Votre hébergeur n'est pas dans cette liste ? Cherchez la page d'actualités ou de statut de son site. S'il n'a rien publié une semaine après le correctif, écrivez à son support et demandez-lui clairement si la version de PHP de votre hébergement est corrigée.

Comment connaître la version de PHP de votre site

Trois façons, selon ce que vous avez sous la main :

• Dans WordPress : menu Outils, puis Santé du site, onglet Infos, rubrique Serveur. La ligne « Version de PHP » donne le numéro exact.
• Chez OVHcloud : espace client, Web Cloud, Hébergements, votre hébergement, onglet Informations générales.
• Chez o2switch : dans le cPanel, l'outil « Sélectionner une version de PHP ».

Le chiffre qui compte vraiment, c'est la famille : 8.1, 8.2, 8.3... Et c'est là que se cache le vrai sujet.

Le vrai problème : les versions de PHP en fin de vie

Une version de PHP n'est maintenue que quelques années. Passé cette date, l'équipe de PHP ne corrige plus rien, même une faille critique. PHP 8.1 et toutes les versions plus anciennes en sont là.

Cette fois, l'équipe de PHP a fait une exception, vu la gravité : elle a publié des correctifs à compiler soi-même pour les versions 7.4, 8.0 et 8.1. o2switch et OVHcloud les ont appliqués. Mais c'était un geste exceptionnel, rien ne garantit qu'il y en aura un à la prochaine faille.

PHP 8.2 n'est guère mieux loti : ses correctifs de sécurité s'arrêtent le 31 décembre 2026, dans deux mois. PHP 8.3 est couvert jusqu'à fin 2027, PHP 8.4 jusqu'à fin 2028.

Si votre site tourne encore en 8.2 ou en dessous, c'est le bon moment pour prévoir le passage à une version récente.

C'est exactement ce que je fais lors d'une mise à jour de site : copie, test de chaque page et de chaque formulaire, correction de ce qui casse, et seulement ensuite bascule du site en ligne.

VPS ou serveur dédié : à faire maintenant

Sur un serveur que vous louez, l'hébergeur ne touche à rien sans votre accord, OVHcloud le rappelle noir sur blanc. Si c'est votre cas, ou celui de votre prestataire :

Comment je l'ai géré pour mes clients

J'ai mis à jour les sites de mes clients, puis j'ai recontacté chacun d'eux pour expliquer ce qui s'était passé, ce que j'avais fait et pourquoi ils n'avaient rien de plus à faire.

La plupart n'en auraient jamais entendu parler. Mais je préfère qu'un client apprenne l'existence d'une faille par moi, avec la solution déjà appliquée, plutôt qu'en lisant la presse et en se demandant si son site est touché.