Correctif PHP2Shell : versions de PHP corrigées et mise à jour

Quelles versions de PHP contiennent le correctif PHP2Shell ?

Ce sont les premières versions corrigées ; toute version plus récente de la même branche contient aussi le correctif. Les distributions Linux rétroportent le correctif dans leurs propres paquets, souvent avec un numéro de version d’apparence plus ancienne. Le tableau ci-dessous recense aussi les images, panneaux et hébergeurs dont nous n’avons pas encore vérifié le statut :

PHP 8.1 et les versions antérieures ne reçoivent plus de nouvelles versions. PHP a publié des correctifs minimaux du code source pour 7.4, 8.0 et 8.1, et certaines distributions fournissent des paquets corrigés pour ces branches ; voir fin de vie de PHP.

Quel guide du correctif PHP2Shell correspond à ma configuration ?

Les guides du correctif PHP2Shell disponibles en français, par configuration :

• Panneaux de contrôle : cPanel et Plesk
• Hébergeurs : OVHcloud, o2switch, Infomaniak, PlanetHoster, IONOS, Hostinger
• Serveurs et environnements : Ubuntu et Debian, Docker, PHP 7.4, 8.0, 8.1
• Applications : WordPress
• WAF et CDN : Cloudflare, AWS WAF, Fastly, Imperva et autres

Les guides consacrés à d’autres panneaux, hébergeurs, systèmes et applications n’existent pour l’instant qu’en anglais.

Comment obtenir le correctif PHP2Shell en hébergement mutualisé ?

En hébergement mutualisé, c’est l’hébergeur qui installe PHP. Certains mettent à jour automatiquement ; d’autres proposent plusieurs versions de PHP par site, et vous n’obtenez le correctif qu’après avoir choisi une version corrigée.

1. Vérifiez votre version. Dans WordPress : Outils → Santé du site → Infos → Serveur. Sinon, dans les réglages PHP du panneau de votre hébergeur.
2. Comparez-la aux versions corrigées ci-dessus, ou utilisez le vérificateur de version PHP.
3. Passez à une version corrigée de la même branche si votre panneau en propose une.
4. Sinon, contactez votre hébergeur avec le message ci-dessous.
5. Vérifiez la nouvelle version une fois qu’il vous a répondu.

Certains hébergeurs ont suspendu temporairement leurs panneaux de contrôle ou leurs sites de service par précaution, par exemple XServer et Lolipop au Japon. Si votre panneau est indisponible, consultez la page d’état ou les annonces de l’hébergeur avant de modifier quoi que ce soit.

Que faut-il envoyer à mon hébergeur ?

Copiez ce message dans un ticket de support et remplacez les parties entre crochets :

Bonjour, mon site [example.com] est hébergé chez vous. PHP a publié des correctifs de sécurité pour les vulnérabilités PHP2Shell (CVE-2026-109618 et CVE-2026-109619).

Pourriez-vous m’indiquer :

1. Quelle version de PHP utilise mon site ?
2. S’il a été mis à jour vers une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12 ou ultérieure) ou vers un paquet d’éditeur qui inclut le correctif ?
3. Si tous les processus PHP ont été redémarrés ensuite ?
4. Si ce n’est pas encore fait, quand la mise à jour sera appliquée, et si je dois faire quelque chose ?

Merci.

Si votre hébergeur affirme que le site est corrigé alors que le numéro de version n’a pas changé, demandez-lui quel paquet ou quel bulletin de sécurité contient le correctif : les rétroportages des distributions peuvent conserver l’ancien numéro.

La mise à jour de PHP va-t-elle casser mon site ?

Passer à une version plus récente de la même branche (par exemple d’une ancienne version 8.3 à 8.3.36) apporte des corrections de bugs et de sécurité, pas de nouvelles fonctionnalités : cela casse rarement un site. Changer de branche, par exemple de 7.4 à 8.3, peut casser d’anciens thèmes, extensions ou morceaux de code : faites une sauvegarde et testez d’abord sur une copie de préproduction. Après la mise à jour, vérifiez la connexion, les formulaires, les envois de fichiers, les paiements et les tâches planifiées, pas seulement la page d’accueil.

Comment vérifier que le correctif PHP2Shell a fonctionné ?

• Redémarrez tous les processus PHP. Les pools PHP-FPM et Apache continuent d’exécuter l’ancien PHP tant qu’ils n’ont pas redémarré.
• Vérifiez ce qu’indique le site, pas seulement la ligne de commande : Santé du site dans WordPress ou votre panneau de contrôle. php -v sur le serveur affiche le PHP en ligne de commande, qui peut être différent. Saisissez le résultat dans le vérificateur de version PHP.
• Recommencez pour chaque site, pool de processus et conteneur. Un site corrigé ne signifie pas que les autres le sont.
• Si vous avez corrigé tardivement, consultez le guide vérifier si votre site a été piraté. Le correctif bouche la faille mais ne supprime pas une porte dérobée.

Et si je ne peux pas installer le correctif PHP2Shell aujourd’hui ?

N’utilisez les mesures temporaires officielles que pour gagner du temps : elles réduisent l’exposition à certains vecteurs d’attaque précis, mais ne corrigent rien et ne rendent pas le site sûr. Voir la page mesures temporaires contre PHP2Shell. Si vous ne pouvez pas corriger, plusieurs agences nationales conseillent de mettre le site hors ligne ou de l’isoler en attendant.

Comment expliquer le correctif à mon responsable ou à mes clients ?

Donnez des faits : quels sites utilisent quel PHP, ce qui a été mis à jour, ce qui reste en attente, qui s’en charge et quand aura lieu la prochaine mise à jour. Distinguez bien « corrigé » et « vérifié contre les intrusions ». Exemple : « Nos sites fonctionnent sous PHP. Deux vulnérabilités critiques de PHP ont été corrigées aujourd’hui ; nous avons mis à jour [N] sites, [M] sont en attente chez notre hébergeur, prévus d’ici le [date]. » Retour au vérificateur PHP2Shell.

Quelles sources appuient cette page ?

• The PHP Group : avis de sécurité et versions corrigées
• Avis GitHub GHSA-w8hw-w9fx-j79w
• Avis GitHub GHSA-6wmf-4rv5-p3rp
• WordPress.org : mettre à jour PHP (Update PHP)
• WordPress.org : écran Santé du site (Site Health)
• Canonical : bulletin de sécurité Ubuntu
• Debian : annonce de sécurité
• cPanel : MultiPHP Manager
• Plesk : réglages PHP
• XServer : suspension préventive du panneau de contrôle (X)
• Lolipop : avis de suspension préventive (X)