Mon site Infomaniak est-il concerné par PHP2Shell ?
Un site Infomaniak est concerné par PHP2Shell si le PHP qui le sert est antérieur à la version corrigée de sa branche. PHP2Shell regroupe deux failles critiques de PHP lui-même, la CVE-2026-109618 et la CVE-2026-109619 : elles touchent tous les sites PHP, quel que soit l’hébergeur. Sur l’hébergement web Infomaniak, c’est Infomaniak qui installe PHP ; vous choisissez la version utilisée par chaque site. Les versions corrigées sont :
| Branche | Première version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 et antérieures | Pas de nouvelle version ; correctifs officiels du code source pour 7.4, 8.0 et 8.1 |
Le vérificateur PHP2Shell explique comment lire votre version.
Infomaniak a-t-il corrigé PHP2Shell ?
Infomaniak indique avoir lancé le déploiement de mises à jour pour toutes les branches de 7.4 à 8.5. Sa page d’état Vulnérabilités PHP critiques : mesures de sécurité et recommandations donne cette chronologie (heures affichées sur la page, sans fuseau précisé) :
- 21 octobre, 15 h 00 : Infomaniak dit avoir connaissance de la CVE-2026-109618 et de la CVE-2026-109619, annonce des mesures et des correctifs, et précise qu’aucune action n’est demandée aux clients, sauf passer les versions de PHP non maintenues à une version maintenue.
- 16 h 29 : phpMyAdmin est mis en maintenance le temps d’appliquer des mesures de mitigation ; l’accès est rétabli à 17 h 26.
- 16 h 53 : le réglage
session.upload_progress.enabledest désactivé à titre temporaire, jusqu’au déploiement de la mise à jour de PHP. - 17 h 04 : les mises à jour de PHP 8.5, 8.4, 8.3, 8.2, 8.1, 8.0 et 7.4 sont en cours de déploiement. Les versions antérieures à 7.4 doivent passer à une version plus récente.
- 23 h 21 : les migrations d’Hébergements Web et de Serveurs Cloud vers la nouvelle infrastructure sont suspendues pour ne pas gêner les déploiements.
- 22 octobre, 3 h 01 : l’événement est clos.
La page est marquée « Terminé », mais aucune mise à jour ne dit explicitement que toutes les versions sont déployées sur tous les serveurs. Nous n’avons pas pu le confirmer au 22 octobre 2026. Infomaniak ne cite pas de numéros de version précis.
Comment voir et changer la version PHP chez Infomaniak ?
La version PHP se gère dans le Manager. D’après la FAQ d’Infomaniak Modifier la version de PHP d’un site (mise à jour le 13 octobre 2026), pour un Hébergement Web :
- Ouvrez la gestion des hébergements et sites dans le Manager Infomaniak.
- Cliquez sur le nom du produit concerné.
- Cliquez sur Plus d’informations, puis sur Modifier.
- Choisissez la version de PHP et cliquez sur Enregistrer en bas de page.
La FAQ précise trois points. Le changement est immédiat. Revenir à une version vulnérable n’est plus possible une fois que vous l’avez quittée. Et il peut falloir mettre à jour l’hébergement avant d’accéder aux dernières versions de PHP.
Le Manager indique la branche choisie. Pour la version exacte, regardez ce que le site indique ; dans WordPress : Outils → Santé du site → Infos → Serveur. Le vérificateur de version PHP aide à interpréter le résultat.
Quelle version de PHP choisir chez Infomaniak ?
Choisissez une branche maintenue, de 8.2 à 8.5. Infomaniak annonce aussi des mises à jour pour 7.4, 8.0 et 8.1, mais ces branches sont en fin de vie côté PHP et ne recevront plus de nouvelles versions. Comme le retour en arrière est bloqué, faites une sauvegarde et testez votre thème et vos extensions avant de changer. PHP 8.2 arrive lui-même en fin de vie le 31 décembre 2026 : viser 8.3 ou plus vous laisse plus de marge.
Et sur un Serveur Cloud ou un VPS Infomaniak ?
La page d’état mentionne les Serveurs Cloud seulement à propos des migrations suspendues ; elle ne dit pas explicitement que leurs versions de PHP ont été mises à jour en même temps. Si vous utilisez un Serveur Cloud, demandez confirmation au support. Sur un serveur que vous administrez vous-même, mettez PHP à jour vous-même (guide Ubuntu) et redémarrez PHP.
Mon WordPress chez Infomaniak est-il protégé ?
Un WordPress chez Infomaniak est corrigé par PHP, pas par WordPress. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell. Ouvrez Outils → Santé du site → Infos → Serveur et comparez la version de PHP avec le tableau ci-dessus. Voir PHP2Shell et WordPress.
Si la version reste inférieure à la version corrigée, contactez le support depuis le Manager. Demandez la version exacte de PHP qui sert le site, si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619, et si PHP a été redémarré. Un modèle de message figure dans le guide du correctif PHP2Shell.
Que faire si mon site Infomaniak tourne sur un vieux PHP ?
Infomaniak est clair : les versions antérieures à 7.4 doivent passer à une version plus récente, car elles ne font pas partie des mises à jour déployées. Pour 7.4, 8.0 et 8.1, PHP ne publie que des correctifs sources minimaux, sans nouvelle version ; le numéro affiché ne dit donc pas si le correctif est en place. Prévoyez la migration vers une branche maintenue : voir PHP en fin de vie.
Puis-je revenir à mon ancienne version de PHP chez Infomaniak après la mise à niveau ?
Non, si l’ancienne version est considérée comme vulnérable. La FAQ d’Infomaniak indique que le passage d’une ancienne version vulnérable à une version récente est possible, mais que le retour en arrière ne l’est plus, pour des raisons de sécurité. Sauvegardez et testez avant de changer.
Pourquoi la barre de progression de mes téléversements se bloque-t-elle chez Infomaniak ?
C’est l’effet attendu de la mesure temporaire : Infomaniak a désactivé session.upload_progress.enabled le 21 octobre 2026 et précise que les barres de progression peuvent se figer, alors que les téléversements fonctionnent. Ce réglage devait rester en place jusqu’au déploiement de la mise à jour de PHP.
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- RCE via OOM corruptionOfficiel The PHP Group
- RCE via stale global stateOfficiel The PHP Group
- Site Health screenOfficiel WordPress.org
- Vulnérabilités PHP critiques : mesures de sécurité et recommandationsÉditeur Infomaniak
- Modifier la version de PHP d’un siteÉditeur Infomaniak