PlanetHoster : version PHP sur N0C ou cPanel et correctif PHP2Shell

Mon site PlanetHoster est-il concerné par PHP2Shell ?

Un site hébergé chez PlanetHoster est concerné par PHP2Shell si le PHP qui le sert est antérieur à la version corrigée de sa branche. PHP2Shell regroupe deux failles critiques de PHP lui-même, la CVE-2026-109618 et la CVE-2026-109619. Sur l’hébergement mutualisé (The World, sur la plateforme N0C) comme sur HybridCloud, c’est PlanetHoster qui fournit PHP. Les versions corrigées sont :

Le vérificateur PHP2Shell explique comment lire votre version.

PlanetHoster a-t-il corrigé PHP2Shell ?

PlanetHoster déploie les correctifs, mais n’annonçait pas encore la fin du déploiement lors de notre vérification. Son avis de sécurité PHP CVE-2026-109618 / CVE-2026-109619, publié sur son domaine de statut planethoster.live, donne les heures de Montréal et de Paris :

• Avant les correctifs : désactivation de session.upload_progress sur tous ses serveurs PHP, protections temporaires au niveau du serveur web contre les requêtes multipart/form-data, et journalisation des requêtes bloquées.
• 21 octobre, 16 h (Paris) : PHP a publié les correctifs, que PlanetHoster commence à déployer sur l’ensemble de ses serveurs, « pour toutes les versions de PHP » qu’il exploite.
• 18 h 50 (Paris) : le déploiement se poursuit ; les protections restent en place jusqu’à la fin.
• 22 h 10 (Paris) : PlanetHoster dit surveiller une vulnérabilité qui toucherait aussi les versions corrigées, notamment PHP 8.5.12, et garde ses protections par précaution.
• 22 octobre, 1 h 40 (Paris) : le déploiement continue ; aucune action n’est requise des clients.

PlanetHoster promet de mettre l’avis à jour quand le déploiement sera terminé et les protections retirées. Nous n’avions pas vu cette mise à jour au 22 octobre 2026. L’avis ne cite pas de numéros de version déployés et ne distingue pas The World de HybridCloud.

Précision utile : l’avis présente session.upload_progress comme la fonction en cause. Selon l’avis de PHP, désactiver ce réglage ne bloque que les chemins confirmés de la CVE-2026-109619, pas la CVE-2026-109618. C’est une mesure temporaire, d’où l’importance du déploiement des versions corrigées.

Comment voir la version PHP sur N0C (hébergement The World) ?

Sur N0C, la version se gère dans l’interface PHP. D’après l’article de la base de connaissances N0C Comment utiliser l’interface PHP (mis à jour le 25 septembre 2026) :

1. Dans le menu contextuel, allez dans Langages → PHP.
2. Lisez le champ Version PHP en cours.
3. Pour changer, choisissez la version dans la liste VERSIONS PHP et cliquez sur Appliquer, puis vérifiez que Version PHP en cours a bien changé.

La version s’applique à tout un Projet Web : pour utiliser des versions différentes, il faut un Projet Web par site. L’interface propose de 4.4 à 8.5 ; choisissez une branche maintenue, de 8.2 à 8.5.

Comment changer la version PHP sur HybridCloud ?

Sur HybridCloud, la version se règle par domaine dans MultiPHP Manager. D’après l’article Comment gérer PHP et ses multiples options pour l’HybridCloud (mis à jour le 21 août 2026) :

• Dans cPanel : Logiciel → MultiPHP Manager, cochez le site, choisissez la version dans la liste, puis cliquez sur Appliquer.
• Dans WHM : Software → MultiPHP Manager, onglet PHP Versions, section Set PHP Version per Domain, puis Apply.

Le réglage System PHP Version de WHM ne s’applique qu’aux nouveaux comptes cPanel. Plus de détails dans changer la version PHP dans cPanel.

Dans les deux cas, le panneau indique la branche, pas la version exacte. Pour celle-ci, regardez ce que le site indique ; dans WordPress : Outils → Santé du site → Infos → Serveur.

Mon WordPress chez PlanetHoster est-il protégé ?

Un WordPress chez PlanetHoster est corrigé par PHP, pas par WordPress. Mettre à jour WordPress, le thème ou les extensions ne corrige pas PHP2Shell. Une fois le déploiement annoncé comme terminé, comparez la version affichée dans la Santé du site avec le tableau ci-dessus. Pendant le déploiement, un téléversement de média qui échoue en 403 vient sans doute des protections temporaires, pas d’une panne de WordPress. Voir PHP2Shell et WordPress.

Que demander au support de PlanetHoster ?

PlanetHoster demande de contacter son support en mentionnant « PHP2Shell » si votre site se comporte anormalement. Demandez aussi la version exacte de PHP qui sert votre site, si elle inclut le correctif de la CVE-2026-109618 et de la CVE-2026-109619, et quand les protections temporaires seront retirées sur votre serveur. Un modèle de message figure dans le guide du correctif PHP2Shell.

Que faire si mon site PlanetHoster tourne sur un vieux PHP ?

PlanetHoster dit déployer les correctifs pour toutes les versions de PHP qu’il exploite, sans détailler lesquelles. PHP ne publie plus de nouvelles versions pour 8.1 et les branches antérieures, seulement des correctifs sources minimaux pour 7.4, 8.0 et 8.1. Nous n’avons pas pu confirmer quelles anciennes versions PlanetHoster a corrigées au 22 octobre 2026. Posez la question au support et prévoyez le passage à une branche maintenue : voir PHP en fin de vie.