Votre site tourne sous WordPress ou PHP ? PHP2Shell ouvre votre serveur sans mot de passe, et les attaques ont commencé

Si le site ou la boutique en ligne de votre entreprise tourne sous WordPress, Magento, Laravel ou tout autre système écrit en PHP, demandez dès aujourd'hui à votre hébergeur ou à votre équipe technique de passer PHP en version 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, puis de redémarrer le serveur. Le projet PHP a publié ces versions le 21 octobre 2026 pour corriger deux failles critiques baptisées PHP2Shell, notées chacune 9,2 sur 10, qui permettent à un attaquant d'exécuter ses commandes sur votre serveur sans aucun mot de passe. L'Autorité nationale saoudienne de cybersécurité a publié le jour même une alerte de niveau « critique » recommandant la mise à jour, et des sociétés de sécurité ont vu des tentatives d'exploitation quelques heures avant la publication du correctif.

Que s'est-il passé exactement ?

Les deux failles portent les numéros CVE-2026-109618 et CVE-2026-109619, et elles se trouvent dans le langage PHP lui-même, pas dans une extension ou un thème. C'est la différence essentielle : dans notre article précédent sur les correctifs WordPress devenus la carte des attaquants, le défaut se trouvait dans un logiciel installé au-dessus de PHP. Ici, il se trouve dans les fondations sur lesquelles reposent tous ces logiciels. Un WordPress à jour ou une courte liste d'extensions ne vous protège donc pas.

Selon le premier avis de sécurité de PHP, la première faille apparaît quand une requête manque de mémoire pendant sa préparation : PHP laisse des données à moitié initialisées qu'il traite ensuite comme valides. Selon le second avis, l'autre faille laisse traîner des données d'une requête précédente après leur libération, et la requête suivante traitée par le même processus les réutilise. Le résultat est le même dans les deux cas : une seule requête web soigneusement construite suffit pour exécuter des commandes sur le serveur.

C'est l'équipe Wiz Research qui a découvert ces failles, avec l'aide de modèles d'IA. Son rapport indique qu'elle les a trouvées le 19 août 2026, signalées à l'équipe PHP le 24 août, et que chaque version de PHP depuis la 5.4 est touchée par au moins l'une d'elles. Wiz estime que PHP fait tourner environ 70 % des sites web.

Mon site est-il concerné ?

Très probablement oui, s'il tourne sous PHP dans une version antérieure aux numéros ci-dessus. Wiz a démontré une exécution de code à distance sans authentification sur WordPress, Drupal et Joomla dans leur configuration par défaut. Sansec a étendu la liste dans son analyse à 11 plateformes, dont Magento 2.4.9, WordPress 7.1.2, Laravel 13.11, Symfony 8.1, phpMyAdmin, Nextcloud et WHMCS.

Pour connaître votre version de PHP, ouvrez le panneau de votre hébergement (cPanel, Plesk ou équivalent) et cherchez « PHP Version », ou posez la question à votre équipe. Deux points de vigilance :

• Les versions 8.1 et antérieures ne sont plus maintenues et ne recevront aucun correctif. D'après le tableau des versions maintenues de PHP, seules les branches 8.2, 8.3, 8.4 et 8.5 sont aujourd'hui supportées.
• La branche 8.2 elle-même perd son support de sécurité le 31 décembre 2026, dans deux mois et demi. Si vous mettez à jour maintenant, passez en 8.4 ou 8.5 pour éviter une deuxième migration prochainement.

Que faire aujourd'hui : cinq étapes

1. Repérez tous les endroits où PHP tourne. Le site, la boutique, l'interface d'administration, et tout système interne ou portail client. Beaucoup d'entreprises oublient un ancien site encore en ligne.
2. Passez à une version corrigée. 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. En hébergement mutualisé, demandez par écrit à votre hébergeur : avez-vous appliqué la mise à jour du 21 octobre ?
3. Redémarrez PHP après la mise à jour. L'avis de PHP précise qu'un processus non redémarré reste sur l'ancien code : télécharger la mise à jour ne suffit pas.
4. Si votre site est en 8.1 ou plus ancien, planifiez la migration cette semaine et testez-la d'abord sur une copie de préproduction, car certaines anciennes extensions peuvent cesser de fonctionner.
5. Vérifiez les journaux. Wiz recommande de rechercher des requêtes d'envoi de fichiers inhabituelles suivies d'erreurs de mémoire insuffisante, des erreurs HTTP 500 répétées, ou des cookies de session (PHPSESSID) anormalement grands ou malformés.

Si vous ne pouvez pas mettre à jour aujourd'hui

Les avis de PHP proposent des mesures temporaires qui réduisent le risque sans remplacer la mise à jour : désactiver session.upload_progress.enabled en le mettant à 0 puis redémarrer tous les processus, et en version 8.5 mettre fatal_error_backtraces à 0. Si votre site n'accepte jamais d'envoi de fichiers, vous pouvez aussi bloquer les requêtes multipart au niveau du serveur frontal.

Si votre site est derrière Cloudflare, l'entreprise indique sur son blog avoir déployé des règles de pare-feu contre ces failles dès 3 h 02 UTC le 21 octobre, environ 9 heures avant la divulgation, sur toutes les offres, y compris la gratuite. Mais Cloudflare conseille elle-même de corriger PHP malgré cette protection, car les attaquants modifient sans cesse leurs charges.

Le regard d'Origami

Cette faille rappelle que la sécurité d'un site ne s'arrête pas à la mise à jour de WordPress et de ses extensions. Sous chaque site, il y a un langage de programmation, un serveur et des réglages, et tous ont besoin d'un suivi. Ce que nous voyons souvent dans les entreprises, c'est un site construit il y a des années, dont plus personne ne sait sur quelle version de PHP il tourne ni qui a les accès pour le mettre à jour. Si c'est votre cas, la question n'est plus « faut-il mettre à jour ? » mais « qui le fait aujourd'hui ? ». Chez Origami, nous construisons des sites et des systèmes et suivons leurs mises à jour dès le premier jour. Pour faire vérifier votre site ou migrer PHP sans interruption, contactez-nous.

Sources

• Autorité nationale saoudienne de cybersécurité (NCA) : alerte PHP n° 2026-7949
• PHP : annonce des versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 du 21 octobre 2026
• PHP sur GitHub : avis CVE-2026-109618
• PHP sur GitHub : avis CVE-2026-109619
• PHP : tableau des versions maintenues
• Wiz Research : rapport PHP2Shell
• Cloudflare : protection WAF contre PHP2Shell
• Sansec : analyse de PHP2Shell et plateformes touchées