Vous voulez savoir si votre site WordPress est touché par PHP2Shell, et pas seulement comment changer de PHP ? Commencez par PHP2Shell et WordPress.
Comment vérifier la version PHP de mon WordPress ?
Il vous faut un compte administrateur.
- Dans le tableau de bord WordPress, ouvrez Outils → Santé du site.
- Cliquez sur l’onglet Infos et dépliez la section Serveur.
- Lisez la version de PHP et la SAPI de PHP (le mode d’exécution de PHP, par exemple FPM/FastCGI ou Apache).
Saisissez-les dans le vérificateur de version PHP pour savoir si PHP2Shell concerne votre site.
Mon site WordPress est-il touché par PHP2Shell ?
Cela dépend de la version de PHP, pas de celle de WordPress. WordPress fonctionne sur PHP, et PHP2Shell est une faille de PHP lui-même. Si la version de PHP affichée dans Santé du site est antérieure à la première version corrigée de sa branche, le site est touché, sauf si votre hébergeur utilise un paquet de distribution Linux qui contient un correctif rétroporté.
| Branche | Première version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 et antérieures | Pas de nouvelle version ; correctifs officiels du code source pour 7.4, 8.0 et 8.1 |
Mettre à jour WordPress et les extensions suffit-il contre PHP2Shell ?
Non. Les mises à jour du cœur de WordPress, des thèmes et des extensions ne touchent pas au moteur PHP sous-jacent, et PHP2Shell ne se corrige qu’en mettant PHP lui-même à jour. Continuez néanmoins à mettre à jour WordPress, les thèmes et les extensions : ces mises à jour corrigent d’autres problèmes.
Comment mettre à jour la version de PHP pour WordPress ?
Tout dépend de votre hébergement :
- Hébergement mutualisé ou WordPress infogéré : votre hébergeur met PHP à jour. Certains vous laissent choisir une version dans leur interface ; choisissez une version corrigée de la même branche. Sinon, envoyez-leur la demande du guide du correctif PHP2Shell.
- cPanel ou Plesk : changez la version de PHP du domaine, puis vérifiez dans Santé du site. Voir changer de version PHP dans cPanel.
- Votre propre serveur : mettez à jour les paquets PHP et redémarrez PHP-FPM ou Apache. Voir mettre à jour PHP sous Ubuntu.
- Docker : reconstruisez avec une image PHP corrigée. Voir image Docker PHP.
Une version de PHP plus récente va-t-elle casser mon site WordPress ?
Rester dans la même branche (par exemple passer à la dernière version 8.3) n’apporte que des corrections et pose rarement problème. Sauter de branche, par exemple de 7.4 à 8.3, peut casser d’anciennes extensions et d’anciens thèmes. Avant de changer de branche, faites une sauvegarde complète, utilisez une copie de préproduction si votre hébergeur en propose une, et mettez d’abord à jour extensions et thèmes. Le guide officiel de WordPress recommande la même démarche.
Santé du site affiche toujours l’ancienne version de PHP après la mise à jour. Pourquoi ?
Santé du site indique le PHP qui a servi cette page. Si la version n’a pas changé, c’est que le nouveau PHP n’a pas été appliqué à ce domaine, ou que les processus PHP n’ont pas encore redémarré. Vérifiez le réglage PHP du domaine et demandez à votre hébergeur de confirmer le redémarrage. Un paquet rétroporté par l’hébergeur peut aussi conserver l’ancien numéro : demandez quel bulletin de sécurité contient le correctif.
Une extension de mode maintenance protège-t-elle WordPress de PHP2Shell ?
Non. Le mode maintenance est une fonction de WordPress qui tourne sur PHP, et certains vecteurs d’attaque agissent avant que le code de WordPress ne s’exécute. Si vous ne pouvez pas encore mettre PHP à jour, demandez à votre hébergeur de bloquer le trafic avant qu’il n’atteigne PHP, ou mettez temporairement le site hors ligne.
PHP2Shell, est-ce la même chose que wp2shell ?
Non. wp2shell est le nom d’une autre vulnérabilité critique, dans le cœur de WordPress, corrigée en mettant WordPress à jour. PHP2Shell se corrige en mettant PHP à jour. Un site WordPress doit avoir les deux à jour. Pour aller plus loin, consultez la page d’accueil du vérificateur PHP2Shell.
Quelles sources appuient cette page ?
- WordPress.org : écran Santé du site (Site Health)
- WordPress.org : mettre à jour PHP (Update PHP)
- The PHP Group : avis de sécurité
- cPanel : MultiPHP Manager
- Plesk : réglages PHP
- Rapid7 : wp2shell, une vulnérabilité distincte du cœur de WordPress
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- Site Health screenOfficiel WordPress.org
- Update PHPOfficiel WordPress.org
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- MultiPHP Manager for cPanelÉditeur cPanel
- PHP SettingsÉditeur Plesk
- CVE-2026-63030: wp2shell, a critical remote code execution vulnerability in WordPress CoreRecherche Rapid7