PHP2Shell : deux failles critiques de PHP attaquées, mettez à jour
Deux failles de PHP permettent de prendre le contrôle d'un serveur sans connexion. Corrigées le 21 octobre 2026. Qui est touché, quoi faire.
Concerne :PHP 8.2 à 8.5 avant le 21 oct.PHP 8.1 et plus ancienWordPress et WooCommerce
Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité urgentes pour deux failles critiques dans PHP lui-même, le langage qui fait tourner WordPress, WooCommerce et la plupart des sites de PME. Les chercheurs en sécurité appellent ce duo « PHP2Shell ». Les deux permettent à un attaquant d'exécuter son propre code sur le serveur sans se connecter.
Des entreprises de sécurité et des hébergeurs signalent des attaques déjà en cours, certaines commencées avant même la publication du correctif. Le conseil de php.net est clair : tous les utilisateurs de PHP sont vivement encouragés à mettre à jour immédiatement.
Qui est concerné
Tout site qui fonctionne avec une version de PHP antérieure aux versions corrigées :
| Branche PHP | Corrigée dans |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 et plus ancienne | Aucun correctif officiel |
Cela inclut les sites WordPress et WooCommerce, et les autres logiciels en PHP. Vos extensions et votre thème n'y changent rien : la faille est dans PHP, en dessous d'eux.
PHP 8.1 et les versions plus anciennes ne reçoivent plus de correctifs du projet PHP. Certains hébergeurs et distributions Linux corrigent eux-mêmes les anciennes versions, mais vous ne pouvez pas supposer que c'est le cas du vôtre.
Comment vérifier votre site
- Dans WordPress : allez dans Outils, puis Santé du site, onglet Infos, et ouvrez Serveur. La version de PHP y figure.
- Dans votre panneau d'hébergement : cPanel, Plesk et la plupart des hébergeurs affichent la version de PHP par site, souvent sous « Version PHP » ou « Réglages PHP ».
- Demandez à votre hébergeur : si vous ne la trouvez pas, demandez au support quelle version de PHP utilise votre site et si elle inclut déjà les correctifs du 21 octobre.
Quoi faire maintenant
- Mettez PHP à jour vers une version corrigée. Sur la plupart des hébergements mutualisés, l'hébergeur met PHP à jour pour vous ou vous laisse changer de version dans le panneau. Demandez-lui de confirmer que c'est fait.
- Si vous êtes en PHP 8.1 ou plus ancien, passez à une version prise en charge. Faites d'abord une sauvegarde complète, puis testez le site sur la nouvelle version (beaucoup d'hébergeurs proposent une copie de test). De vieilles extensions peuvent casser avec un PHP plus récent : une raison de plus de les vérifier.
- Ne comptez pas sur un simple réglage. Les chercheurs indiquent que des changements de configuration ne bloquent pas complètement ces attaques. La mise à jour est la seule correction complète.
- Cherchez des signes d'intrusion. Repérez les comptes administrateurs inconnus, les extensions ou fichiers que vous n'avez pas ajoutés, et les changements inattendus sur vos pages. Si quelque chose cloche, restaurez une sauvegarde saine d'avant le 21 octobre et changez tous les mots de passe.
Également sur php.net
Le 23 octobre, php.net a publié un avis distinct, de moindre portée, sur la fonction « session upload progress ». En attendant la prochaine mise à jour régulière de PHP, il suggère de la désactiver (session.upload_progress.enabled=0). La plupart des sites WordPress ne l'utilisent pas. Si vous gérez votre propre serveur, c'est un changement rapide ; en hébergement mutualisé, c'est votre hébergeur qui décide.
Cette alerte rapporte ce que php.net et les chercheurs en sécurité ont publié. Elle ne garantit pas que votre site est touché ou non : seule la vérification de votre version de PHP vous le dira.