Faille PHP chez OVH : mise à jour serveur uniquement ou actions à prévoir ?
Sur l’hébergement web mutualisé d’OVHcloud, le correctif PHP2Shell est une mise à jour côté serveur : c’est OVHcloud qui installe les versions corrigées de PHP, pas vous. C’est exactement la question posée sur X le 21 octobre pour un WordPress hébergé chez OVH. Votre part consiste à vérifier que votre site utilise une branche corrigée, puis à contrôler la version qu’il indique réellement. PHP2Shell désigne deux failles critiques de PHP lui-même, la CVE-2026-109618 et la CVE-2026-109619. Les versions corrigées sont :
| Branche | Première version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 et antérieures | Pas de nouvelle version ; correctifs officiels du code source pour 7.4, 8.0 et 8.1 |
Le vérificateur PHP2Shell explique comment lire votre version.
OVHcloud a-t-il corrigé PHP2Shell sur ses hébergements web ?
Oui, d’après sa page d’état. La tâche [GLOBAL][Web Hosting] - All clusters maintenance notification, publiée le 21 octobre 2026, donne cette chronologie (heures UTC ; ajoutez deux heures pour Paris) :
- 8 h 00 : une mesure de contournement est appliquée sur les hébergements web, en réaction à la publication des CVE.
- 14 h 50 : les règles de filtrage (WAF) sont ajustées sur tous les clusters et le déploiement des versions corrigées commence ; les rechargements de service peuvent ralentir les sites.
- 17 h 53 : OVHcloud écrit que toutes les versions de PHP de 7.4 à 8.5 sont corrigées sur tous les clusters, et que l’équipe travaille sur les versions antérieures.
La fenêtre de maintenance court jusqu’au 22 octobre à 11 h 18 UTC, et la tâche n’était pas marquée comme résolue quand nous l’avons consultée. Elle liste des clusters de Gravelines (GRA) et un cluster de Beauharnois (BHS).
Sur le forum communautaire d’OVHcloud, un membre de l’équipe OVHcloud a relayé le même jour un message annonçant le déploiement des versions 7.4.33, 8.0.30, 8.1.34, 8.2.35, 8.3.36, 8.4.27 et 8.5.12, et précisé que la tâche de la page d’état est le seul moyen d’être prévenu automatiquement.
Comment voir la version PHP de mon hébergement OVH ?
La version se lit dans le Control Panel. D’après le guide OVHcloud Hébergement web - Environnement, version PHP, « .ovhconfig » (mis à jour le 23 juillet 2026) :
- Allez dans Web Cloud > Hébergements et sélectionnez votre hébergement.
- Ouvrez l’onglet Informations générales.
- Lisez la valeur Version PHP globale.
Ce champ indique la branche (par exemple 8.4), pas la version exacte. Pour celle-ci, regardez ce que le site affiche ; dans WordPress : Outils → Santé du site → Infos → Serveur. Voir aussi vérifier la version PHP.
Comment passer à une version de PHP corrigée chez OVH ?
Vous choisissez la branche ; OVHcloud fournit les versions corrigées. Le guide OVHcloud propose deux méthodes.
Dans le Control Panel : dans la section Configuration, cliquez sur le bouton ... à droite de Version PHP globale, puis sur Modifier la configuration. Choisissez Modifier la configuration courante, cliquez sur Suivant, sélectionnez la version, puis Valider. Si le bouton est grisé, une vérification de version est sans doute en cours : attendez quelques minutes.
Avec le fichier .ovhconfig : à la racine de votre espace FTP, sauvegardez le fichier existant, puis modifiez la ligne app.engine.version. L’exemple du guide :
app.engine=php
app.engine.version=8.0
http.firewall=none
environment=production
container.image=stable64Remplacez 8.0 par une branche maintenue, comme 8.4. Seul le fichier placé à la racine compte, car un hébergement n’utilise qu’une version de PHP. Selon le guide, les versions 7.4 et 8.0 à 8.5 sont disponibles dans l’environnement stable64, changer de version via .htaccess n’est plus possible sur les offres récentes, et le fichier php.ini n’est pas modifiable sur l’hébergement web. Vous ne pouvez donc pas appliquer vous-même la mesure temporaire : c’est OVHcloud qui a appliqué la sienne.
Vérifiez la compatibilité de votre site avant de changer de branche. Pour la méthode générale, voir changer la version PHP dans cPanel, dont la logique est la même.
Et sur un VPS ou un serveur dédié OVHcloud ?
La tâche de la page d’état ne concerne que les clusters d’hébergement web. Sur un VPS ou un serveur dédié, c’est vous qui administrez le système et PHP : installez les paquets corrigés de votre distribution (guide Ubuntu), redémarrez PHP-FPM ou Apache, puis vérifiez la version servie.
Mon WordPress hébergé chez OVH est-il protégé ?
Un WordPress chez OVHcloud est corrigé par PHP, pas par WordPress. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell. Ouvrez Outils → Santé du site → Infos → Serveur et comparez la version avec le tableau ci-dessus ; détails sur PHP2Shell et WordPress.
Si la version reste inférieure à la version corrigée, demandez au support quelle version exacte sert votre site, si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619, et si PHP a été redémarré. Un modèle de message figure dans le guide du correctif PHP2Shell. Passez par votre espace client, jamais par le lien d’un e-mail inattendu.
Que faire si mon site OVH tourne sur un vieux PHP ?
Le guide OVHcloud mentionne encore des versions de 5.4 à 7.3 dans des environnements plus anciens. PHP ne publie plus de nouvelles versions pour 8.1 et les branches antérieures, seulement des correctifs sources minimaux pour 7.4, 8.0 et 8.1. OVHcloud dit avoir corrigé 7.4 et au-delà ; pour les versions plus anciennes, nous n’avons pas pu confirmer de correctif au 22 octobre 2026. Passez à une branche maintenue (8.2 à 8.5) et sachez que PHP 8.2 arrive en fin de vie le 31 décembre 2026 : voir PHP en fin de vie.
Dois-je modifier mon fichier .ovhconfig pour recevoir le correctif PHP2Shell ?
Pas si votre site utilise déjà une branche de 7.4 à 8.5 : OVHcloud indique avoir corrigé ces versions sur tous ses clusters d’hébergement web. Modifiez .ovhconfig seulement pour quitter une branche plus ancienne ou en fin de vie, après une sauvegarde.
Mon site OVH affiche toujours PHP 8.1.34 : le correctif est-il installé ?
Le numéro ne permet pas de le savoir. OVHcloud a cité 8.1.34, 8.0.30 et 7.4.33 parmi les versions déployées, mais ces branches gardent le même numéro une fois corrigées. Demandez confirmation au support et prévoyez le passage à PHP 8.2 ou plus.
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- RCE via OOM corruptionOfficiel The PHP Group
- RCE via stale global stateOfficiel The PHP Group
- Site Health screenOfficiel WordPress.org
- Upcoming critical PHP security releaseÉditeur OVHcloud (community forum; staff posts by "FabL")
- Hébergement web - Environnement, version PHP, « .ovhconfig »Éditeur OVHcloud
- [GLOBAL][Web Hosting] - All clusters maintenance notificationÉditeur OVHcloud