o2switch : version PHP dans cPanel et correctif PHP2Shell

Mon hébergement o2switch est-il concerné par PHP2Shell ?

Un site hébergé chez o2switch est concerné par PHP2Shell si le PHP qui le sert est antérieur à la version corrigée de sa branche. PHP2Shell regroupe deux failles critiques de PHP lui-même, la CVE-2026-109618 et la CVE-2026-109619. Sur l’hébergement mutualisé cPanel d’o2switch, c’est o2switch qui fournit les versions de PHP ; vous choisissez celle qu’utilise votre hébergement. Les versions corrigées sont :

Le vérificateur PHP2Shell explique comment lire votre version.

o2switch a-t-il corrigé PHP2Shell ?

Nous n’avons trouvé aucune annonce publique d’o2switch sur PHP2Shell au 22 octobre 2026, ni sur son site, ni sur son blog, ni sur sa page d’état des services. Ce que l’on sait vient de la presse.

Dans un article publié le 21 octobre 2026 à 18 h 25, Clubic rapporte, à partir de deux comptes de test sur le même serveur :

• 8 h 07 : le php.ini avait été modifié pour désactiver session.upload_progress, et les processus PHP redémarrés.
• 16 h 40 : les binaires PHP dataient encore du 6 octobre (PHP 8.3.35 et 8.4.26), alors que 8.3.36 et 8.4.27 venaient de sortir.
• 17 h 30 : le support répondait que les correctifs seraient déployés dès qu’ils seraient disponibles et validés pour son infrastructure.

Toujours selon Clubic, o2switch s’appuie sur les paquets PHP de CloudLinux et travaille à des correctifs rétroportés pour les anciennes branches, jusqu’à PHP 5.2. o2switch ne l’a pas confirmé publiquement. De son côté, CloudLinux indique sur sa page d’état que ses paquets alt-php corrigés, de 5.2 à 8.5, ont été publiés dans ses dépôts stables pour CloudLinux 7, 8 et 9 le 22 octobre à 0 h 07 UTC. Nous n’avons pas pu vérifier qu’o2switch les a installés.

La désactivation de session.upload_progress est une mesure temporaire : selon l’avis de PHP, elle ne bloque que les chemins confirmés de la CVE-2026-109619, pas la CVE-2026-109618.

Comment voir la version PHP chez o2switch ?

La version se gère dans l’outil cPanel Sélectionner une version de PHP (Select PHP Version). D’après la FAQ d’o2switch Sélectionner une version de PHP (mise à jour le 23 juin 2026), le menu déroulant de l’outil affiche la version de PHP courante. Par défaut, le sélecteur est sur la version native, la configuration par défaut du serveur, qui est actuellement PHP 8.1.

L’outil indique la branche, pas la version exacte. Pour celle-ci, regardez ce que le site indique ; dans WordPress : Outils → Santé du site → Infos → Serveur. Voir aussi vérifier la version PHP.

Comment passer à une version de PHP corrigée chez o2switch ?

D’après la même FAQ, il faut choisir une version non native :

1. Ouvrez Sélectionner une version de PHP dans cPanel.
2. Choisissez une version non native dans le menu déroulant, par exemple PHP 8.3.
3. Cliquez sur Apply. Le bouton disparaît une fois le réglage enregistré.

La liste des extensions apparaît alors, avec l’onglet Options pour le php.ini et le bouton Reset to default pour revenir à la configuration de base. Le réglage porte sur l’environnement PHP de tout l’hébergement. La FAQ précise aussi qu’une version non native reste fixe : o2switch ne la fait pas évoluer quand la version native change. L’outil propose de PHP 4.4 à 8.5 ; pour PHP2Shell, choisissez une branche de 8.2 à 8.5, après une sauvegarde et un test de votre thème et de vos extensions. La logique générale est décrite dans changer la version PHP dans cPanel.

Pourquoi la version native PHP 8.1 pose-t-elle problème ?

PHP 8.1 est en fin de vie : PHP ne publie pas de version 8.1 corrigée, seulement un correctif source minimal. Un hébergement resté en version native dépend donc d’un rétroportage installé par o2switch, et le numéro affiché ne permet pas de savoir s’il est en place. Passer en 8.2 ou plus vous place sur une branche qui reçoit les versions corrigées officielles.

Mon WordPress chez o2switch est-il protégé ?

Un WordPress chez o2switch est corrigé par PHP, pas par WordPress. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell. Ouvrez Outils → Santé du site → Infos → Serveur et comparez la version avec le tableau ci-dessus. Voir PHP2Shell et WordPress.

Si la version reste inférieure à la version corrigée, contactez le support d’o2switch. Demandez la version exacte qui sert votre site, si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619, et si PHP a été redémarré. Un modèle de message figure dans le guide du correctif PHP2Shell.

Que faire si mon site o2switch tourne sur un vieux PHP ?

o2switch propose encore des versions très anciennes, jusqu’à PHP 4.4. PHP ne publie plus de nouvelles versions pour 8.1 et les branches antérieures, seulement des correctifs sources minimaux pour 7.4, 8.0 et 8.1 ; les correctifs pour les branches plus anciennes dépendent de l’hébergeur ou de son fournisseur. Planifiez la migration vers une branche maintenue : voir PHP en fin de vie.