PHP2Shell et WordPress : votre site WordPress est-il concerné ?

Mon site WordPress est-il touché par PHP2Shell ?

Votre site WordPress est touché si la version de PHP qui le fait tourner est antérieure à la version corrigée de sa branche, ou s’il s’agit de PHP 8.1 ou d’une version antérieure sans correctif de l’éditeur. PHP2Shell est un ensemble de deux failles de PHP lui-même (CVE-2026-109618 et CVE-2026-109619) : tout site WordPress sur un PHP non corrigé est concerné, quels que soient son thème, ses extensions ou sa version de WordPress.

Comment vérifier mon site WordPress pour PHP2Shell en deux minutes ?

Il vous faut un compte administrateur, pas d’accès au serveur.

1. Dans l’administration WordPress, ouvrez Outils → Santé du site.
2. Passez à l’onglet Infos et dépliez la section Serveur.
3. Relevez la version de PHP et la SAPI de PHP (le mode d’exécution de PHP, par exemple FPM ou Apache).
4. Saisissez-les dans le vérificateur PHP2Shell. Il les compare aux versions corrigées et vous indique la marche à suivre.

Santé du site affiche le PHP qui sert réellement votre site, et c’est cette version qui compte. Un php -v sur le serveur peut indiquer un autre PHP, celui de la ligne de commande. D’autres méthodes : vérifier sa version PHP.

Mettre à jour WordPress, mon thème ou mes extensions corrige-t-il PHP2Shell ?

Non. PHP2Shell se trouve dans le moteur PHP, sous WordPress. Les mises à jour du cœur de WordPress, des thèmes et des extensions ne changent pas la version de PHP de votre serveur. Continuez à les faire, mais le correctif PHP2Shell ne vient que d’une mise à jour de PHP vers une version corrigée ou vers le paquet corrigé de votre éditeur.

PHP2Shell, est-ce la même chose que wp2shell ?

Non. wp2shell est une autre vulnérabilité, dans le cœur de WordPress, corrigée en mettant WordPress à jour. PHP2Shell se trouve dans PHP et se corrige en mettant PHP à jour. Les moteurs de recherche affichent parfois des résultats sur wp2shell quand on cherche « php2shell wordpress » : vérifiez donc les deux.

• wp2shell : le cœur de WordPress est à jour (Tableau de bord → Mises à jour).
• PHP2Shell : la version de PHP affichée dans Santé du site est égale ou supérieure à la version corrigée de sa branche.

Qui met à jour PHP pour mon site WordPress ?

Tout dépend de votre hébergement.

Si vous n’avez accès qu’à l’administration WordPress, envoyez à votre hébergeur la demande toute prête du guide du correctif PHP2Shell.

La mise à jour de PHP va-t-elle casser mon site WordPress ?

Passer à une version plus récente de la même branche, par exemple de 8.3.30 à 8.3.36, n’apporte que des corrections et casse rarement WordPress. Changer de branche, par exemple de 7.4 à 8.3, peut casser d’anciens thèmes et extensions. Avant un changement de branche, sauvegardez le site et testez sur une copie de préproduction si votre hébergeur en propose une. Voir version PHP de WordPress pour changer de version sans risque.

Une extension de sécurité ou Cloudflare protège-t-elle WordPress de PHP2Shell ?

Elles peuvent réduire l’exposition, mais ne corrigent rien. Cloudflare indique que son WAF bloque des motifs d’attaque connus et qu’il a observé des tentatives d’attaque avant le correctif. Une extension de sécurité WordPress fonctionne par-dessus PHP : elle ne peut donc pas corriger le moteur PHP, et PHP a confirmé au moins un vecteur d’attaque qui s’exécute avant tout code applicatif. En attendant la mise à jour, consultez la page mesures temporaires pour CVE-2026-109618 pour les mesures officielles et leurs limites.

Comment savoir si mon site WordPress a déjà été piraté ?

Mettre PHP à jour bloque les nouvelles attaques, mais ne dit rien du passé. Dans WordPress, cherchez :

• Utilisateurs : des comptes administrateur que vous ne reconnaissez pas (menu Comptes ou Utilisateurs selon la version, filtre Administrateur).
• Envois de fichiers : des fichiers .php dans wp-content/uploads, qui ne devrait contenir que des médias.
• Extensions indispensables (must-use) : des fichiers inconnus dans wp-content/mu-plugins, qui n’apparaissent pas dans la liste normale des extensions.
• Extensions et thèmes : tout ce que vous n’avez pas installé, et les fichiers récemment modifiés auxquels vous n’avez pas touché.

Si vous trouvez quelque chose, suivez la liste de contrôle complète en cas de compromission avant de modifier quoi que ce soit, puis changez tous les mots de passe et les clés de wp-config.php après le nettoyage.

Que doivent dire les agences web à leurs clients WordPress ?

Dites-leur ce que vous avez fait, pas seulement quel est le risque : quelle version de PHP utilise désormais chaque site, qu’elle est égale ou supérieure à la version corrigée, et que vous avez cherché des signes de compromission. Le guide du correctif PHP2Shell propose un message à adapter pour vos clients, et le vérificateur PHP2Shell donne un verdict rapide site par site.