Changer la version de PHP dans cPanel (et Plesk) pour corriger PHP2Shell

Comment changer la version de PHP dans cPanel ?

1. Connectez-vous à cPanel et ouvrez MultiPHP Manager (généralement dans la section Software).
2. Cochez le domaine à modifier.
3. Choisissez la version de PHP dans la liste et cliquez sur Apply.
4. Rechargez le site et vérifiez la nouvelle version (pour WordPress : Outils → Santé du site → Infos → Serveur).

Si MultiPHP Manager n’est pas disponible, c’est que votre hébergeur gère PHP de façon centralisée ; contactez le support avec le message proposé dans le guide du correctif PHP2Shell.

Comment changer la version de PHP dans Plesk ?

1. Allez dans Websites & Domains et sélectionnez le domaine.
2. Ouvrez PHP (paramètres PHP).
3. Choisissez la version de PHP et le gestionnaire (handler), puis enregistrez.
4. Rechargez le site et vérifiez la version qu’il indique.

Les libellés ci-dessus sont ceux de l’interface en anglais ; ils peuvent être traduits si votre panneau de contrôle est en français.

Quelle version de PHP choisir contre PHP2Shell ?

Le changement le plus sûr consiste à passer à la version corrigée de votre branche actuelle, ou à une version plus récente de la même branche :

Rester dans la même branche évite les problèmes de compatibilité. Changer de branche (par exemple depuis 7.4) demande d’abord une sauvegarde et des tests ; voir PHP en fin de vie.

Pourquoi je ne peux pas sélectionner une version de PHP corrigée ?

Le menu ne liste que les versions installées par votre hébergeur. Si vous voyez la branche sans savoir si elle est corrigée, ou s’il n’y a aucune version corrigée, l’hébergeur doit installer la mise à jour. Demandez-lui la version exacte et si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619. Les hébergeurs qui utilisent les paquets d’une distribution Linux peuvent livrer le correctif sous un numéro qui paraît plus ancien ; demandez-leur quel bulletin de sécurité s’applique.

Choisir une version dans le panneau prouve-t-il que je suis corrigé ?

Non. Le panneau indique la version sélectionnée, pas si cette version contient le correctif ni si les processus PHP ont redémarré. Vérifiez ce que le site lui-même indique, et voyez avec votre hébergeur pour les versions rétroportées. Le vérificateur de version PHP vous aide à interpréter le résultat.

Que vérifier après le changement ?

Vérifiez chaque domaine et sous-domaine séparément, car chacun peut utiliser une version de PHP différente. Testez ensuite les connexions, les formulaires, les téléversements et les paiements. Si quelque chose ne fonctionne plus après un changement de branche, faites appel à votre développeur plutôt que de revenir à une version non corrigée.

Puis-je désactiver session.upload_progress dans MultiPHP INI Editor de cPanel ?

Prudence. PHP indique que la mesure temporaire session.upload_progress.enabled=0 ne fonctionne que si elle s’applique avant que PHP n’analyse la requête, et que ini_set() et les fichiers .user.ini de PHP-FPM ne suffisent pas. Les réglages que vous modifiez site par site dans un panneau de contrôle peuvent justement être écrits dans ce type de fichier par répertoire. Demandez à votre hébergeur de l’appliquer au niveau du serveur ou du pool et de redémarrer PHP, et considérez-la comme une mesure temporaire, pas comme un correctif : voir la page de contournement PHP2Shell.

Faut-il modifier quelque chose dans WordPress après avoir changé de PHP ?

Pas pour PHP2Shell en soi : le correctif est dans PHP. Consultez tout de même la Santé du site ensuite pour repérer d’éventuels avertissements sur les extensions PHP ou la compatibilité, et mettez à jour les extensions WordPress qui signalent des problèmes avec la nouvelle version. Le guide sur la version PHP de WordPress couvre le côté WordPress.

Mon panneau de contrôle est indisponible : que faire ?

Certains hébergeurs ont suspendu temporairement leur panneau de contrôle par précaution ; au Japon, XServer a par exemple précisé que sa suspension n’était pas due à un accès non autorisé. Consultez la page d’état ou les annonces de votre hébergeur, ne modifiez pas vos DNS et ne déménagez pas le site dans la précipitation, et contactez le support. Vue d’ensemble : vérificateur PHP2Shell.

Sur quelles sources s’appuie cette page ?

• cPanel : MultiPHP Manager
• Plesk : paramètres PHP
• The PHP Group : avis de sécurité
• WordPress.org : écran Santé du site
• XServer : suspension préventive du panneau de contrôle (X)