PHP2Shell : vérifiez si votre PHP est touché, puis corrigez-le

Que faut-il savoir sur PHP2Shell ?

Commencez ici : ce qu’est PHP2Shell, qui a lancé l’alerte, et ce qui est confirmé ou non.

PHP2Shell, c’est quoi, et est-ce grave ?

PHP2Shell est le nom donné par Wiz Research à deux failles de sécurité mémoire dans le moteur PHP : CVE-2026-109618 (« RCE via OOM corruption ») et CVE-2026-109619 (« RCE via stale global state »). Le projet PHP classe les deux comme critiques (score CVSS 4.0 de 9,2), car une simple requête venue d’Internet peut mener à une exécution de code à distance : un attaquant pourrait lancer des commandes avec les droits de votre serveur web, modifier les fichiers du site et lire les mots de passe de la base de données.

Ces failles se trouvent dans PHP, pas dans WordPress, Drupal ou une autre application : elles concernent donc tout site dont le PHP non corrigé traite des requêtes web. La page vulnérabilité PHP2Shell détaille les deux bugs, les configurations touchées et ce qui reste inconnu.

Quels gouvernements ont lancé une alerte sur PHP2Shell ?

Les agences nationales de cybersécurité de plus d’une douzaine de pays et régions ont publié une alerte PHP2Shell, notamment aux États-Unis (NSA, FBI), au Royaume-Uni (NCSC), dans l’Union européenne (CERT-EU), au Japon, en Allemagne, en France et à Singapour. La plupart demandent aux organisations de repérer où elles utilisent PHP et de le mettre à jour immédiatement ; plusieurs conseillent de mettre un site hors ligne ou de l’isoler s’il ne peut pas être corrigé. En France, le CERT-FR (ANSSI) a publié l’alerte CERTFR-2026-ALE-014, qui recommande d’isoler les systèmes concernés et de passer à une version prise en charge. Consultez la liste complète des alertes nationales sur PHP2Shell, avec un lien vers l’alerte de chaque agence.

Je n’ai pas de site web, j’utilise simplement Internet. Dois-je faire quelque chose ?

Non : PHP2Shell ne demande aucune action sur votre téléphone ou votre ordinateur. Le correctif doit être installé sur les serveurs web par ceux qui gèrent les sites. Certains produits, comme les serveurs de stockage en réseau (NAS) ou d’autres appareils dotés d’une page d’administration web, embarquent PHP, comme le rappellent plusieurs agences nationales : laissez leurs mises à jour de firmware activées et installez-les dès que le fabricant les publie. Ne changez un mot de passe que si un service que vous utilisez vous le demande, et méfiez-vous des e-mails ou SMS qui invoquent PHP2Shell pour vous faire « mettre à jour » quelque chose ou vous connecter : les escrocs profitent de chaque grande actualité de sécurité.

La faille PHP2Shell est-elle exploitée en ce moment ?

Des tentatives d’attaque ont été signalées, mais aucune compromission réussie n’a été confirmée. Cloudflare indique avoir observé du trafic d’attaque, et des attaquants qui modifiaient leurs charges, avant même la sortie du correctif. Aucune des sources que nous avons vérifiées au 22 octobre 2026 ne confirme qu’un site a réellement été pris en main via PHP2Shell ; cela ne veut pas dire que personne ne l’exploite. L’affirmation largement partagée selon laquelle les sites seraient piratés dans les 15 minutes suivant le correctif n’est pas étayée par les sources consultées : Sansec écrit qu’il s’attend à une exploitation massive, sans donner de délai. Dans tous les cas, mettez à jour maintenant.

Pourquoi autant de sites sont-ils hors ligne à cause de PHP2Shell ?

Surtout par précaution. Les agences des États-Unis, du Royaume-Uni, de l’UE et du Japon ont demandé de mettre hors ligne les systèmes PHP impossibles à corriger tout de suite. Des sites gouvernementaux en Allemagne, en France (sites de préfectures), aux Pays-Bas, en Finlande et en République tchèque, le port de Rotterdam et certains systèmes de Wikimedia ont été coupés, selon Reuters. Hors ligne ne veut pas dire piraté. Voir qui a mis ses sites hors ligne.

Les fuites de données récentes sont-elles dues à PHP2Shell ?

Nous n’avons trouvé aucune preuve publique reliant des fuites de données récentes précises à PHP2Shell. Certains hébergeurs ont suspendu temporairement des services ou des fonctions par précaution, par exemple Lolipop et Sakura Internet au Japon ; un arrêt de précaution n’est pas une fuite. Considérez comme non vérifiées les publications qui attribuent une fuite donnée à PHP2Shell, tant que l’entreprise concernée ne l’a pas confirmé.

PHP2Shell, est-ce la même chose que wp2shell ?

Non. wp2shell est le nom d’une autre vulnérabilité critique, dans le cœur de WordPress, corrigée en mettant WordPress à jour. PHP2Shell se trouve dans PHP lui-même et se corrige en mettant PHP à jour. Si vous utilisez WordPress, vérifiez que WordPress et PHP sont tous deux à jour.

Mon site est-il touché par PHP2Shell ?

Trouvez le PHP réellement utilisé par votre site, puis comparez-le aux versions corrigées.

Mon site WordPress est-il concerné par PHP2Shell ?

Probablement, tant que vous n’avez pas vérifié. WordPress fonctionne sur PHP : un site WordPress est touché si le PHP qui le sert est antérieur à la version corrigée de sa branche. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell ; seule une mise à jour de PHP le fait. Dans WordPress, ouvrez Outils → Santé du site → Infos → Serveur pour voir la version de PHP. Notre guide de la version PHP de WordPress vous accompagne pas à pas.

Pour l’autodiagnostic WordPress complet, consultez PHP2Shell et WordPress.

Comment savoir quelle version de PHP utilise mon site ?

Regardez à l’un de ces endroits :

• WordPress : Outils → Santé du site → Infos → Serveur.
• Panneau de contrôle de l’hébergeur : les réglages PHP de votre domaine.
• Serveur ou conteneur : php -v sur cette machine ou dans ce conteneur. Cette commande affiche le PHP en ligne de commande, qui peut différer du PHP qui sert votre site : vérifiez quel pool PHP-FPM ou quel module Apache sert le site.

Saisissez ce que vous trouvez dans le vérificateur de version PHP. Le guide vérifier sa version PHP présente toutes les méthodes.

Pouvez-vous vérifier mon site en ligne pour PHP2Shell ?

En partie. Le vérificateur PHP2Shell peut lire la version de PHP que votre site annonce dans ses en-têtes HTTP, selon la logique du php2shell-checker d’OpenAI. Il envoie une seule requête ordinaire, rien d’autre. Beaucoup de sites masquent cet en-tête, et un en-tête peut être faux ou ignorer un rétroportage de l’éditeur : une version absente ou d’apparence ancienne n’est donc pas le dernier mot. La vérification la plus sûre reste la version indiquée par votre panneau de contrôle ou par Santé du site, saisie dans le même vérificateur.

Mon site a-t-il déjà été piraté ?

Une vérification de version ne peut pas le dire. Mettez d’abord PHP à jour, puis cherchez les changements que vous n’avez pas faits : administrateurs inconnus, fichiers PHP dans les dossiers d’envoi (uploads), fichiers modifiés récemment et tâches planifiées que vous n’avez pas créées. Si vous trouvez quelque chose, conservez les preuves, changez les mots de passe et restaurez une sauvegarde saine. Suivez le guide vérifier si votre site a été piraté.

Comment corriger PHP2Shell ?

Mettez PHP à jour vers une version corrigée ou vers le paquet corrigé de votre éditeur, puis redémarrez PHP.

Quelles versions de PHP corrigent PHP2Shell ?

Ce sont les premières versions corrigées de chaque branche prise en charge ; toute version plus récente de la même branche contient aussi le correctif. Les distributions Linux rétroportent souvent le correctif dans leurs propres paquets sans changer le numéro de version de PHP : un numéro plus bas chez Ubuntu ou Debian peut donc être corrigé. Le guide du correctif PHP2Shell explique comment mettre à jour et comment vérifier que cela a fonctionné.

Je suis en hébergement mutualisé : mon hébergeur va-t-il corriger PHP2Shell automatiquement ?

En hébergement mutualisé ou infogéré, c’est votre hébergeur qui installe PHP et qui doit donc fournir la version corrigée. Certains hébergeurs mettent à jour automatiquement ; d’autres vous laissent choisir une version de PHP par site, et le correctif ne s’applique qu’une fois une version corrigée sélectionnée. Vérifiez la version qu’indique votre site, puis contactez le support. Le guide du correctif contient un message prêt à envoyer à votre hébergeur.

Et pour PHP 7.4, 8.0 ou 8.1 ?

Ces branches ne reçoivent plus de nouvelles versions : il n’existe donc pas de nouvelle version officielle 7.4, 8.0 ou 8.1 contenant le correctif. Vu la gravité, PHP a publié des correctifs minimaux du code source pour 7.4, 8.0 et 8.1, destinés à ceux qui compilent PHP eux-mêmes, et certaines distributions Linux et éditeurs de support long terme fournissent des paquets avec rétroportage ; le paquet php8.1 d’Ubuntu 22.04, par exemple, est corrigé. Les branches antérieures à 7.4 n’ont aucun correctif officiel. La solution durable est de passer à une branche prise en charge. Voir fin de vie de PHP et PHP2Shell.

Comment expliquer PHP2Shell à mon responsable, mes clients ou mon hébergeur ?

Restez factuel : quels sites tournent sous PHP, quelle version chacun utilise, qui fait la mise à jour et pour quand. Pour un responsable : « PHP, sur lequel reposent nos sites, présente deux vulnérabilités critiques ; des correctifs existent ; nous mettrons à jour et vérifierons chaque site d’ici le [date]. » Le guide du correctif propose une demande prête à copier pour les hébergeurs.

Et si je ne peux pas encore mettre PHP à jour ?

Les mesures temporaires réduisent l’exposition à certains vecteurs d’attaque précis. Aucune n’est un correctif.

Cloudflare ou un autre WAF me protège-t-il de PHP2Shell ?

En partie, et uniquement pour le trafic qui passe par lui. Cloudflare a déployé des règles WAF pour toutes les offres où le WAF est activé, y compris l’offre gratuite, environ neuf heures avant la divulgation, et a signalé des attaquants qui modifiaient leurs charges pour les contourner. Un WAF filtre des motifs d’attaque connus ; il ne change pas le PHP de votre serveur, et les requêtes qui atteignent directement votre serveur le contournent. Un WAF est une couche supplémentaire, pas un correctif : mettez PHP à jour même si vous utilisez Cloudflare. Voir PHP2Shell et Cloudflare pour les points à vérifier, et règles WAF pour PHP2Shell pour AWS WAF, Fastly et Imperva.

Désactiver session.upload_progress suffit-il ?

Non. Selon PHP, régler session.upload_progress.enabled=0 bloque certains vecteurs d’attaque confirmés de CVE-2026-109619, pas toutes les variantes, et n’a aucun effet sur CVE-2026-109618. Ce réglage ne fonctionne en outre que s’il est appliqué avant l’analyse des requêtes et suivi d’un redémarrage de tous les processus PHP. Pour reprendre les termes de PHP, seule une mise à jour constitue une solution complète. La page mesures temporaires contre PHP2Shell recense toutes les mesures officielles pour les deux failles, avec leurs limites.

L’annonce de sécurité de PHP est explicite : seule une mise à jour est une solution complète (« only an update is a complete solution »). — Annonce de sécurité de PHP

D’où viennent ces informations ?

De l’annonce de sécurité de PHP, des deux avis de sécurité GitHub, des bulletins des éditeurs Linux, des agences nationales de cybersécurité et des travaux de recherche d’origine. Nous les avons vérifiées le 22 octobre 2026. Nous n’exécutons jamais d’exploit.

• The PHP Group : avis de sécurité et versions corrigées
• Avis GitHub : RCE via OOM corruption
• Avis GitHub : RCE via stale global state
• Wiz Research : recherche d’origine sur PHP2Shell
• Cloudflare : protection WAF contre PHP2Shell
• Sansec : recherche et chronologie PHP2Shell
• Canonical : bulletin de sécurité Ubuntu pour PHP
• Debian : annonce de sécurité pour php8.4
• Lolipop : avis de suspension préventive (X)
• Nikkei : Sakura Internet suspend certaines fonctions
• Rapid7 : wp2shell, une vulnérabilité distincte du cœur de WordPress