Mon site IONOS est-il concerné par PHP2Shell ?
Un site hébergé chez IONOS est concerné par PHP2Shell si le PHP qui le sert est antérieur à la version corrigée de sa branche. PHP2Shell regroupe deux failles critiques de PHP lui-même, la CVE-2026-109618 et la CVE-2026-109619. Sur l’hébergement web IONOS, c’est IONOS qui installe PHP ; sur un VPS ou un serveur bare metal, c’est vous. Les versions corrigées sont :
| Branche | Première version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 et antérieures | Pas de nouvelle version ; correctifs officiels du code source pour 7.4, 8.0 et 8.1 |
Le vérificateur PHP2Shell explique comment lire votre version.
IONOS a-t-il corrigé PHP2Shell ?
IONOS installe la mise à jour, mais n’avait pas annoncé la fin de l’opération lors de notre vérification. Sur sa page d’état française, l’incident Maintenance de sécurité : de brèves interruptions possibles sur les services basés sur PHP indique :
- 21 octobre 2026, 18 h 11 (heure de Paris) : une faille critique a été découverte dans PHP ; IONOS procède « dès à présent » à l’installation de la mise à jour de sécurité sur l’ensemble de ses systèmes et prévoit d’avoir terminé dans les 24 heures. Pendant ce temps, certains sites et services peuvent être ralentis ou brièvement indisponibles.
- Même message : les clients qui exploitent une application en gestion autonome, par exemple sur un VPS ou un serveur bare metal, doivent installer la mise à jour de sécurité de PHP dès que possible.
- 23 h 01 : IONOS continue de restaurer les fonctionnalités concernées.
L’incident touche l’hébergement (Web Hosting, Hébergement Windows, Hébergement WordPress), l’Espace Client et MyWebsite. Il n’était pas résolu quand nous l’avons consulté. Le message ne nomme pas PHP2Shell, ne cite pas les CVE et ne donne pas de numéros de version : nous n’avons pas pu confirmer quelles versions sont déjà corrigées au 22 octobre 2026.
Comment afficher la version PHP chez IONOS ?
La version PHP se voit domaine par domaine. D’après l’article d’aide IONOS Afficher ou changer la version de PHP, pour les offres d’hébergement Linux ou Serveur Dédié Managed :
- Connectez-vous à votre compte IONOS.
- Dans la barre de titre, cliquez sur Menu > Hébergement, puis sélectionnez le contrat si vous en avez plusieurs.
- Dans la vignette PHP, cliquez sur Administrer.
- La colonne Version PHP indique la version active de chaque domaine.
Cette colonne indique la branche. Pour la version exacte, regardez ce que le site indique ; dans WordPress : Outils → Santé du site → Infos → Serveur. Voir aussi vérifier la version PHP.
Comment passer à une version de PHP corrigée chez IONOS ?
Dans la même liste, cliquez sur le domaine ou sous-domaine à modifier. Pour en changer plusieurs à la fois, cochez-les puis cliquez sur changer de version PHP. Choisissez la version et cliquez sur Enregistrer ; l’activation peut prendre un moment.
L’article d’aide distingue deux groupes :
- Versions récentes : celles que la communauté PHP maintient encore. IONOS écrit qu’il installe lui-même leurs mises à jour, pour que vous utilisiez toujours la version la plus récente.
- Versions obsolètes : proposées via le Support Prolongé PHP, payant, pour lequel IONOS fournit ses propres mises à jour de sécurité.
Pour PHP2Shell, choisissez une branche récente, de 8.2 à 8.5. Si le site ne fonctionne plus, IONOS indique que vous pouvez revenir à la version précédente ou en tester une autre. Pour WordPress Managed et MyWebsite, IONOS gère la version et vous ne pouvez pas la modifier. L’hébergement Windows (ASP.NET) a sa propre procédure.
Et sur un VPS ou un serveur IONOS ?
IONOS le dit clairement : sur un VPS ou un serveur bare metal que vous gérez, c’est à vous d’installer la mise à jour. Installez les paquets corrigés de votre distribution (guide Ubuntu), redémarrez PHP-FPM ou Apache, puis vérifiez la version servie. En attendant, la page de contournement PHP2Shell décrit les mesures temporaires et leurs limites.
Mon WordPress chez IONOS est-il protégé ?
Un WordPress chez IONOS est corrigé par PHP, pas par WordPress. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell. Une fois la maintenance terminée, ouvrez Outils → Santé du site → Infos → Serveur et comparez la version avec le tableau ci-dessus. Voir PHP2Shell et WordPress.
Si la version reste inférieure à la version corrigée, contactez le support depuis votre espace client. Demandez la version exacte de PHP de votre domaine, si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619, et si PHP a été redémarré. Un modèle de message figure dans le guide du correctif PHP2Shell.
Que faire si mon site IONOS tourne sur un vieux PHP ?
IONOS propose PHP 5.6 à 8.1 via le Support Prolongé PHP, et même des versions plus anciennes pour les contrats souscrits jusqu’au 17 septembre 2025. IONOS écrit que ses experts y comblent les failles de sécurité, mais n’a pas précisé publiquement si ces versions ont reçu le correctif PHP2Shell : nous n’avons pas pu le confirmer au 22 octobre 2026. PHP ne publie plus de nouvelles versions pour ces branches, seulement des correctifs sources minimaux pour 7.4, 8.0 et 8.1. Le plus sûr reste de passer à une branche maintenue : voir PHP en fin de vie.
Dois-je changer ma version PHP chez IONOS pour recevoir le correctif PHP2Shell ?
Pas si votre domaine utilise déjà une version récente : IONOS indique qu’il installe lui-même les mises à jour des versions encore maintenues par PHP. Vérifiez seulement, une fois la maintenance terminée, que la version affichée par votre site est au moins la version corrigée de sa branche.
Mon site WordPress Managed ou MyWebsite chez IONOS : que faire ?
Rien côté version : pour WordPress Managed et MyWebsite, IONOS gère la version de PHP et elle ne peut pas être modifiée. L’incident de maintenance de la page d’état concerne aussi l’Hébergement WordPress et MyWebsite. En cas de doute après la maintenance, demandez confirmation au support depuis votre espace client.
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- RCE via OOM corruptionOfficiel The PHP Group
- RCE via stale global stateOfficiel The PHP Group
- Site Health screenOfficiel WordPress.org
- Maintenance de sécurité : de brèves interruptions possibles sur les services basés sur PHPÉditeur IONOS SARL
- Afficher ou changer la version de PHPÉditeur IONOS
- Support Prolongé PHPÉditeur IONOS