PHP2Shell : ce que les PME de San Antonio doivent faire

6 novembre 2026 · 6 min de lecture

Réponse courte : le 21 octobre 2026, le projet PHP a publié des correctifs d'urgence pour deux failles critiques, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619), qui peuvent permettre à un attaquant de prendre le contrôle d'un site Web sans se connecter. Si le site de votre entreprise fonctionne sous WordPress, WooCommerce, Laravel ou une autre plateforme PHP, vérifiez que votre serveur utilise PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou une version plus récente. S'il utilise PHP 8.1 ou une version plus ancienne, il n'existe aucun correctif officiel.

Voici ce qui s'est passé, comment vérifier votre site en quelques minutes et quoi faire s'il a déjà été touché.

Ce qui s'est passé

  • 20 octobre 2026 : les détails des deux failles ont été divulgués publiquement avant la sortie d'un correctif.
  • 21 octobre : le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour les corriger.
  • 26 octobre : la CISA, l'agence américaine de cybersécurité et de sécurité des infrastructures, a ajouté les deux failles à sa liste des vulnérabilités activement exploitées par des attaquants.

Selon l'alerte de la CISA, les failles touchent toutes les installations PHP qui traitent des requêtes Web, y compris des configurations courantes comme Apache avec mod_php, PHP-FPM et LiteSpeed. The PHP Foundation indique qu'une exécution de code à distance complète a été démontrée avec les paramètres par défaut. Concrètement : un attaquant pourrait exécuter son propre code sur votre serveur et contrôler votre site Web.

Pourquoi c'est important pour le site d'une petite entreprise

  • La plupart des sites de petites entreprises fonctionnent avec PHP. C'est le cas de WordPress, WooCommerce, Joomla, Drupal et Laravel.
  • Le correctif se trouve sur le serveur, pas dans WordPress. Mettre à jour WordPress et vos extensions reste important, mais cela ne corrige pas PHP. Votre hébergeur, ou la personne qui gère votre serveur, doit installer la version corrigée de PHP.
  • Personne ne surveille la plupart des sites de petites entreprises. Si personne ne s'est connecté depuis la mise en ligne, vous apprenez généralement le piratage quand Google avertit vos visiteurs ou que votre hébergeur suspend le compte.

Comment vérifier votre site en 5 minutes

  1. Connectez-vous au panneau de contrôle de votre hébergement, comme cPanel, Plesk ou le tableau de bord de votre hébergeur.
  2. Trouvez le réglage de la version PHP. Il s'appelle souvent « Select PHP Version » (choisir la version de PHP), « PHP Manager » ou « PHP Settings ». Dans WordPress, vous pouvez aussi ouvrir Outils → Santé du site → Infos → Serveur.
  3. Vérifiez le numéro de version complet, pas seulement « 8.3 ». Il vous faut 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou une version plus récente de la même branche.
  4. Si vous utilisez PHP 8.1 ou une version plus ancienne, planifiez une mise à niveau dès maintenant. Le projet PHP ne met plus ces versions à jour. PHP 8.2 arrive lui-même en fin de vie le 31 décembre 2026 : si vous faites une mise à niveau de toute façon, passez à 8.3 ou plus récent.
  5. Si votre version n'est pas corrigée et que vous ne pouvez pas la changer vous-même, ouvrez un billet de soutien auprès de votre hébergeur et demandez quand il installera la version corrigée.

Faites une sauvegarde complète avant de changer de version PHP, et testez le site tout de suite après. Si quelque chose ne fonctionne plus, c'est le signe d'extensions ou de code désuets à corriger. Ce n'est pas une raison pour rester sur une version non sécuritaire.

Signes que votre site est peut-être déjà compromis

  • Vos visiteurs sont redirigés vers des sites de pourriels, de jeux d'argent ou de pharmacie.
  • Vous voyez des utilisateurs administrateurs, des fichiers ou des pages que vous n'avez pas créés.
  • Google Search Console signale un problème de sécurité, ou Chrome affiche un avertissement avant le chargement de votre site.
  • Votre hébergeur vous envoie un courriel au sujet d'un logiciel malveillant ou suspend le compte.

Quoi faire si votre site a été piraté

  1. Mettez le site hors ligne ou demandez à votre hébergeur d'afficher une page de maintenance.
  2. Ne restaurez pas simplement la sauvegarde de la semaine dernière. Si le site a été touché après la fuite du 20 octobre, une sauvegarde récente peut déjà contenir les fichiers de l'attaquant. Corrigez PHP d'abord, puis restaurez une sauvegarde que vous savez saine.
  3. Mettez tout à jour et changez tous les mots de passe : PHP, WordPress, extensions et thèmes, ainsi que les accès à l'hébergement, à l'administration, à la base de données et au FTP.
  4. Supprimez le logiciel malveillant et fermez la porte d'entrée. C'est ce que fait notre service de sauvetage et réparation de site Web.
  5. Demandez à Google de vérifier de nouveau le site. Une fois le site nettoyé, demandez un examen de sécurité dans Google Search Console pour faire retirer l'avertissement.

Vous ne savez pas où en est votre site?

Donnez-nous l'adresse de votre site Web et nous vérifierons gratuitement sa version PHP et l'état de ses mises à jour, puis nous vous expliquerons en termes simples ce qui doit être corrigé, s'il y a lieu.

Obtenir une vérification gratuite

Comment garder une longueur d'avance sur la prochaine faille

Les correctifs de sécurité ne vous protègent que si quelqu'un les installe. Un forfait d'entretien de site Web couvre les mises à jour de la plateforme, des extensions et des thèmes avec une sauvegarde préalable, des sauvegardes régulières, la surveillance de la sécurité et de la disponibilité, et une aide prioritaire quand quelque chose ne fonctionne plus. L'Entretien Essentiel coûte 69 $ US par mois. Votre budget est plus serré? Écrivez-nous quand même : nous travaillons avec tous les budgets et trouvons une option qui vous convient.

Peu importe qui s'occupe de votre site, posez-lui une question après chaque mise à jour de sécurité de PHP : quelle version exacte de PHP mon site utilise-t-il maintenant?

Réponses rapides

Mon site WordPress est-il touché par PHP2Shell?

Si votre serveur utilise une version de PHP antérieure à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, oui : il reste exposé tant que PHP n'est pas mis à jour. Mettre à jour WordPress seul ne règle pas le problème, car la faille se trouve dans PHP lui-même.

Quelle version de PHP le site de mon entreprise devrait-il utiliser?

PHP 8.3 ou plus récent, avec la dernière version corrective. PHP 8.2 reçoit des correctifs de sécurité seulement jusqu'au 31 décembre 2026, et PHP 8.1 et les versions plus anciennes n'en reçoivent aucun.

Mon hébergeur peut-il régler ça pour moi?

Avec la plupart des hébergements mutualisés et gérés, oui : l'hébergeur installe la version corrigée de PHP. Demandez quelle version exacte votre site utilise et quand elle a été mise à jour.

Et si je ne peux pas faire la mise à jour tout de suite?

La CISA recommande de mettre hors ligne les sites qui ne peuvent pas être mis à jour immédiatement, ou qui utilisent PHP 8.1 ou une version plus ancienne, jusqu'à ce qu'ils soient corrigés ou mis à niveau.

Sources

À lire aussi : Comment sauver un site Web en panne | Forfaits d'entretien de site Web

Jaime Cabriales Carlos - Web Designer and Developer at Cabriales Web Studio

Jaime Cabriales Carlos

Fondateur de Cabriales Web Studio. Plus de 3 ans à bâtir des sites Web pour de petites entreprises, des entrepreneurs et des OBNL au Texas et aux États-Unis. Établi à San Antonio.