Faille PHP2Shell découverte par l'IA : votre site PHP est-il à jour ? Testez-le gratuitement

Le 21 octobre 2026, l'équipe de PHP a publié en urgence des correctifs pour deux failles critiques de son moteur. PHP fait tourner 70,3 % des sites dont on connaît le langage serveur, selon W3Techs (août 2026) : WordPress, WooCommerce, PrestaShop, Joomla et une grande partie des sites sur mesure. Si votre site en fait partie, la question n'est pas de savoir si vous êtes concerné, mais si votre serveur a été mis à jour.

Vous voulez la réponse tout de suite ? Testez gratuitement votre site : le résultat arrive en 10 secondes.

Que s'est-il passé avec PHP le 21 octobre 2026 ?

PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent deux failles baptisées PHP2Shell, référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 (CVSS 4.0). La publication a été avancée d'un jour, après une fuite des détails avant la date prévue.

Les deux failles touchent la gestion de la mémoire du moteur PHP. La première survient quand une requête atteint la limite de mémoire au mauvais moment : PHP garde des données à moitié construites et les réutilise. La seconde laisse, après une erreur fatale, un état interne qui pointe vers la mémoire d'une requête précédente. Dans les deux cas, un attaquant peut aller jusqu'à exécuter du code sur le serveur.

Selon la PHP Foundation, l'exécution de code à distance a été démontrée avec la configuration par défaut sur Apache avec mod_php, sans authentification, et confirmée sur PHP-FPM par des chemins passant par le code de l'application.

Pourquoi parle-t-on d'une faille trouvée par l'IA ?

Parce que les principaux signalements sont venus d'équipes qui travaillent avec des modèles d'IA. La société Calif a signalé le problème à PHP le 11 août 2026, Wiz a apporté d'autres scénarios d'attaque le 24 août, et OpenAI a signalé de son côté la même cause, puis de nouveaux vecteurs le 18 septembre. Wiz indique avoir utilisé ses propres outils et plusieurs modèles d'IA pour trouver la faille, développer l'attaque et valider le correctif.

La PHP Foundation précise qu'une personne prend chaque décision et travaille sur chaque correctif. L'IA a accéléré la recherche ; elle accélère aussi celle des attaquants. Des tentatives d'exploitation ont été observées dès les jours qui ont suivi, et même avant la publication officielle, selon SecurityWeek et The Hacker News.

Votre site est-il concerné ?

Oui, s'il fonctionne avec PHP et que la version de son serveur n'a pas été mise à jour depuis le 21 octobre. Selon Wiz, presque toutes les versions de PHP sont touchées par au moins une des deux failles, y compris des versions remontant à PHP 5.4.

Ce dernier cas est loin d'être rare : selon W3Techs, 63,1 % des sites qui utilisent PHP sont sur la version 8 (août 2026). Les autres tournent sur des versions plus anciennes, qui ne reçoivent plus aucun correctif de sécurité de la part de PHP.

Deux précisions évitent les fausses certitudes. Mettre à jour WordPress, WooCommerce ou vos extensions ne change pas la version de PHP du serveur. Et un site construit avec Next.js, comme ceux que nous développons, n'utilise pas PHP : il n'est pas concerné par cette faille-ci, même s'il a ses propres mises à jour à suivre.

Comment vérifier votre version de PHP en 10 secondes ?

Le plus rapide est notre test gratuit de version PHP. Il charge une seule fois votre page d'accueil, comme un navigateur, lit ce que le serveur affiche publiquement et vous donne un verdict. Il n'envoie aucune requête d'attaque, et il est réservé au propriétaire du site : il demande une adresse e-mail de son domaine et une déclaration.

Si votre site masque sa version, ce qui est une bonne pratique, vérifiez-la vous-même :

1. Dans votre hébergement : cPanel, Plesk ou l'espace client de votre hébergeur affichent la version de PHP du site, souvent dans « Sélecteur de version PHP ».
2. Dans WordPress : Outils, puis Santé du site, puis Informations, puis Serveur : la ligne « Version de PHP » donne le numéro exact.
3. Sur le serveur : la commande php -v affiche la version. Attention, le site web peut utiliser une autre version que la ligne de commande.

Un numéro suivi d'un suffixe, comme 8.1.2-1ubuntu2.19, signale une version fournie par le système (Ubuntu, Debian). L'éditeur a parfois intégré le correctif sans changer le numéro : demandez à votre hébergeur de vous le confirmer par écrit.

Que faire si votre site n'est pas à jour ?

La PHP Foundation est claire : il faut mettre à jour maintenant. Wiz le confirme : la mise à jour de PHP reste la seule correction complète.

1. Mettez à jour PHP vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon votre branche, ou demandez-le à votre hébergeur aujourd'hui.
2. Si vous êtes sur PHP 8.1 ou plus ancien, planifiez la migration vers une version maintenue. Le thème, les extensions ou le code peuvent devoir être adaptés : testez sur une copie avant de basculer.
3. Masquez la version publiée par le serveur (réglage expose_php = Off) : afficher son numéro de version indique aux robots quoi attaquer.
4. Activez un pare-feu applicatif si vous en avez un. Cloudflare, par exemple, a déployé des règles contre PHP2Shell. Elles réduisent le risque, mais ne remplacent pas la mise à jour.
5. Surveillez les signes d'attaque relevés par Wiz : erreurs de limite de mémoire en série, réponses 500 répétées, cookies de session anormalement longs.

Si vous ne savez pas qui gère votre serveur, ou si votre prestataire ne répond pas, décrivez-nous votre site : nous vérifions la version réelle sur le serveur, appliquons le correctif ou la migration, et contrôlons que tout fonctionne ensuite.

Que retenir pour la suite ?

Cette faille rappelle une règle souvent oubliée dans les devis : un site n'est pas terminé le jour de sa mise en ligne. Sa sécurité dépend de mises à jour régulières, prévues dans un contrat de maintenance écrit. C'est l'un des points de notre checklist pour juger un devis de site e-commerce.

Si votre site tourne sur une version de PHP qui ne reçoit plus de correctifs, c'est aussi le bon moment pour décider : migrer, ou reconstruire un site plus léger et plus facile à tenir à jour. Lisez Next.js ou WordPress : comment choisir, et découvrez notre accompagnement en refonte et migration.

---

À lire aussi — Pourquoi Next.js pour un site d'entreprise en Tunisie · Site vitrine ou e-commerce : comment choisir