Hostinger : version PHP dans hPanel et statut du correctif PHP2Shell

Mon site Hostinger est-il concerné par PHP2Shell ?

Un site Hostinger est concerné par PHP2Shell si sa version de PHP est antérieure à la version corrigée de sa branche et qu’aucune autre protection ne le couvre. PHP2Shell regroupe deux failles critiques de PHP lui-même, la CVE-2026-109618 et la CVE-2026-109619 ; elles touchent les sites PHP partout, pas un hébergeur en particulier. Sur les offres d’hébergement géré, c’est Hostinger qui installe PHP ; sur un VPS, c’est vous. Les versions corrigées sont :

Le vérificateur PHP2Shell explique comment lire votre version.

Hostinger a-t-il corrigé PHP pour PHP2Shell ?

Hostinger dit avoir déployé des versions corrigées de PHP sur son hébergement géré et qu’aucune action n’est nécessaire hors VPS. La page d’état ne marquait pas encore l’incident comme résolu au 22 octobre 2026.

• Page d’état (21 octobre 2026, 17 h 44 UTC) : dans PHP Security Update Across Managed Hosting Plans, Hostinger écrit que ses tests n’ont pas trouvé la plateforme vulnérable à PHP2Shell, qu’il a ajouté une couche de protection supplémentaire et qu’il déploierait malgré tout des versions corrigées de PHP. Aucune action n’est demandée aux clients.
• Page d’état (19 h 12 UTC) : la mise à jour est terminée sur l’hébergement Agency et se poursuit sur les autres serveurs d’hébergement géré.
• Page d’état (22 octobre 2026, 3 h 34 UTC) : tous les serveurs cPanel sont passés au dernier build de cPanel, qui inclut le correctif PHP (build 138.18), et la dernière version d’Alt-PHP est installée.
• Blog (21 octobre 2026) : Hostinger deploys protections against php2shell PHP vulnerabilities liste les mesures : règles de pare-feu et ModSecurity en mode blocage, session.upload_progress désactivé sur LiteSpeed, PHP Selector, les configurations PHP-FPM de cPanel et phpMyAdmin, et rejet des requêtes d’envoi malformées. Le billet indique que les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ont été déployées et que les clients ont été prévenus par e-mail.

Les offres VPS sont à part. Le blog de Hostinger précise que les protections au niveau du serveur ne s’appliquent pas aux VPS, dont les clients gèrent PHP eux-mêmes. Sur un VPS, mettez PHP à jour vous-même (guide Ubuntu) ; les mesures temporaires sont sur la page de contournement PHP2Shell.

Comment vérifier ma version PHP chez Hostinger ?

La version PHP se trouve sur la page Configuration PHP de hPanel. D’après l’article d’aide en français Comment changer la version PHP de votre hébergement Hostinger :

1. Allez dans Sites web, puis Gérer à côté du site.
2. Dans la barre latérale, cliquez sur Configuration PHP.

La version anglaise du même article (How to change the PHP version of your Hostinger hosting plan) nomme le bouton Dashboard au lieu de « Gérer ». Cette page affiche la branche choisie. Pour la version exacte, regardez ce que le site indique ; dans WordPress : Outils → Santé du site → Infos → Serveur. Le vérificateur de version PHP aide à interpréter le résultat.

Comment passer à une version de PHP corrigée chez Hostinger ?

Sur les offres gérées, vous n’installez pas la version corrigée : Hostinger s’en charge. Vous choisissez la branche. Sur la page Configuration PHP, sélectionnez la version et cliquez sur Mise à jour ; l’article anglais indique que le changement s’applique en quelques minutes.

Deux précisions de l’article anglais comptent :

• Le réglage s’applique à tous les sites de l’offre d’hébergement, sauf ceux créés avec Hostinger AI Builder.
• Les nouveaux sites peuvent choisir PHP 8.2 à 8.5. Les versions 8.1 et antérieures ne sont plus sélectionnables dans le tableau de bord.

Faites une sauvegarde et vérifiez la compatibilité du thème et des extensions avant de passer à une branche plus récente. Le blog de Hostinger signale que vous pouvez revenir en arrière pendant la même session de connexion en cas de problème.

Et les sites WordPress chez Hostinger ?

Un WordPress chez Hostinger est corrigé par PHP, pas par WordPress. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell. Après le déploiement, ouvrez Outils → Santé du site → Infos → Serveur et comparez la version de PHP avec le tableau ci-dessus. Voir PHP2Shell et WordPress.

Que demander au support de Hostinger ?

Contactez le support de Hostinger si votre site géré indique toujours une version inférieure à la version corrigée après le déploiement. Demandez la version exacte de PHP qui sert votre site, si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619, si les processus PHP ont été redémarrés et, si ce n’est pas fait, quand votre serveur est prévu. Un modèle de message figure dans le guide du correctif PHP2Shell. Passez par le chat d’assistance dans hPanel, pas par les liens d’e-mails inattendus.

Que faire si mon site Hostinger tourne sur un vieux PHP ?

Pour les anciennes versions, tout dépend des builds de Hostinger. PHP ne publie plus de nouvelles versions pour 8.1 et les branches antérieures, seulement des correctifs sources minimaux pour 7.4, 8.0 et 8.1. Le blog de Hostinger affirme que les sites sur d’anciennes versions restent couverts par les mêmes protections, que son fournisseur PHP s’est engagé à livrer des builds corrigés pour toutes les versions de 5.2 à 8.5 sur les hébergements Web, Cloud et cPanel, et que l’hébergement Agency utilise déjà des builds corrigés. Le 22 octobre, Hostinger a aussi annoncé la dernière version d’Alt-PHP installée sur ses serveurs cPanel ; nous n’avons pas pu confirmer le déploiement de ces builds sur toutes les offres au 22 octobre 2026. L’avis de PHP rappelle enfin que PHP 8.2 arrive en fin de vie le 31 décembre 2026 : prévoyez une mise à niveau, voir PHP en fin de vie.