PHP2Shell est le nom donné à deux failles critiques de PHP (CVE-2026-109618 et CVE-2026-109619), le langage qui fait tourner WordPress, WooCommerce et la plupart des sites d’entreprise. Elles permettent à un attaquant d’exécuter du code sur un serveur web sans se connecter. PHP les a corrigées le 21 octobre 2026 dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et les attaques ont commencé le jour même. Pour protéger votre site : vérifiez la version de PHP utilisée, assurez-vous que votre hébergeur a installé le correctif (certains gardent l’ancien numéro mais ajoutent le patch), mettez à jour WordPress et toutes les extensions, cherchez les signes d’intrusion et gardez une sauvegarde récente en dehors du serveur.
Ce guide est rédigé par Kolchi In One (KIO), une agence digitale qui crée et maintient des sites web, des CRM et des agents IA pour des clients au Moyen-Orient, en Europe, en Asie et en Afrique du Nord. Nous avons fait exactement cette vérification sur notre propre site et sur les sites que nous gérons la semaine où la faille a été annoncée.
Pourquoi les chefs d’entreprise du monde entier la recherchent
Sur Google Trends au niveau mondial, « php2shell » est passé de zéro à une recherche « Breakout » en quelques jours. Les pays qui la recherchent le plus sont l’Autriche, la Chine, le Luxembourg, la Suisse, les Pays-Bas, Hong Kong, l’Allemagne et Singapour. Les recherches associées racontent la même histoire : « php critical vulnerability », « php vulnerability patch » et « cve-2026-109618 » sont toutes en « Breakout », et « wordpress php update » progresse de plus de 2 700 %. En francophonie aussi, « faille php » et « failles php » s’envolent. De Dubaï à Amsterdam en passant par Casablanca, les chefs d’entreprise ont entendu que des sites sont attaqués et veulent savoir une seule chose : le mien est-il en sécurité ?
PHP2Shell, en mots simples
PHP est le moteur de la plupart des sites que vous visitez : tous les sites WordPress, les boutiques WooCommerce, PrestaShop, beaucoup de systèmes de réservation et d’écoles, et de nombreuses plateformes sur mesure. Les deux failles se trouvent dans PHP lui-même, pas dans WordPress ni dans une extension. Une requête spécialement préparée peut faire exécuter au serveur le code de l’attaquant avant même que le code de votre site ne démarre. C’est pourquoi les équipes de sécurité les ont notées 9,2 sur 10.
- Annonce et correctif : 21 octobre 2026, avec un avis de sécurité officiel de PHP et quatre versions corrigées.
- Attaques : l’équipe de veille d’Amazon a enregistré une tentative le 17 octobre, quatre jours avant l’annonce. Des entreprises de sécurité ont signalé des tentatives réelles dès le jour de la publication, et Cloudflare a vu les tentatives grimper à plusieurs millions en une journée.
- Qui est concerné : tout site qui utilise PHP, sur un hébergement mutualisé, un VPS ou un serveur dédié.
Votre site est-il concerné ?
Si votre site tourne sous WordPress, la réponse est oui, il utilise PHP. Ce qui compte, c’est de savoir si le PHP de votre serveur contient déjà le correctif.
- Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récentes.
- Hébergeurs qui corrigent pour vous : beaucoup d’hébergeurs mutualisés (par exemple ceux sous CloudLinux) ajoutent le correctif à leur propre version et gardent un numéro plus bas, comme 8.3.35. Le numéro seul ne prouve pas que vous êtes vulnérable ; votre hébergeur peut le confirmer.
- PHP 8.1, 8.0, 7.4 et plus anciens : ces versions ne reçoivent plus de mises à jour officielles. Si votre site utilise encore l’une d’elles, planifiez une mise à niveau maintenant.
La vérification en 10 minutes pour les chefs d’entreprise
- Trouvez votre version de PHP. Dans WordPress : Outils, Santé du site, Infos, puis la section Serveur. Vous la voyez aussi dans votre panneau d’hébergement (hPanel, cPanel ou Plesk), dans la configuration PHP.
- Posez une question claire à votre hébergeur. « La version de PHP utilisée par mon site est-elle corrigée pour CVE-2026-109618 et CVE-2026-109619 ? » Un bon hébergeur répond oui, avec la date. S’il ne sait pas répondre, passez à une version corrigée dans votre panneau ou demandez à votre agence de le faire.
- Mettez à jour WordPress, les extensions et le thème. Mettre à jour WordPress ne corrige pas une faille de PHP, mais les attaquants qui cherchent PHP2Shell testent aussi les vieilles extensions en même temps. Supprimez les extensions que vous n’utilisez plus.
- Cherchez les signes d’intrusion. Vérifiez dans Utilisateurs qu’il n’y a aucun administrateur inconnu, dans la liste des extensions qu’il n’y a rien que vous n’avez pas installé, et dans le gestionnaire de fichiers de l’hébergeur qu’il n’y a pas de fichiers PHP dans le dossier uploads. Méfiez-vous des redirections vers des sites étranges, d’un avertissement Google « ce site a peut-être été piraté » ou d’une alerte malware de votre hébergeur.
- Gardez une sauvegarde hors du serveur. Une copie de la base de données et des fichiers sur votre ordinateur ou un drive, pas seulement sur le même compte d’hébergement.
- Si quelque chose semble anormal : changez les mots de passe WordPress, hébergement et base de données, activez la connexion en deux étapes pour chaque administrateur, et faites nettoyer le site par un professionnel avant de le remettre en ligne.
Ce qu’une extension de sécurité peut faire, et ce qu’elle ne peut pas faire
Les extensions de sécurité et les pare-feu comme Wordfence ou Cloudflare peuvent bloquer des attaques connues et signaler des fichiers modifiés. C’est utile, mais l’équipe PHP est claire : aucun réglage ne protège complètement un serveur non corrigé. Seul le PHP mis à jour le fait. Voyez l’extension comme une alarme, et la mise à jour de PHP comme la serrure.
Un autre avis à connaître
Le 23 octobre, PHP a publié un avis plus léger sur une fonction appelée session upload progress, en recommandant aux hébergeurs de la désactiver jusqu’à la prochaine version. Elle concerne des configurations de serveur peu courantes et aucune attaque n’a été signalée. Votre hébergeur s’en occupe au niveau du serveur ; vous n’avez rien à toucher sur votre site.
Ce que nous avons fait chez KIO
Quand la faille a été annoncée, nous avons vérifié notre propre site et les sites que nous hébergeons le jour même : version de PHP confirmée corrigée par l’hébergeur, fichiers du cœur de WordPress vérifiés avec les sommes de contrôle officielles, fichiers des extensions vérifiés, comptes administrateurs passés en revue, fichiers récemment modifiés inspectés et aucun fichier PHP trouvé dans uploads. Rien n’avait été compromis. Ensuite, nous avons mis à jour les extensions restantes, après une sauvegarde complète.
Si vous n’avez pas le temps de le faire vous-même, ou si votre site a été créé par quelqu’un que vous ne pouvez plus joindre, c’est exactement le type de maintenance que nous assurons. Nos critères pour choisir qui s’occupe de votre site se trouvent dans notre liste en 10 points pour choisir une agence digitale, et si vous pensez reconstruire sur une base plus solide, lisez Site web, application web ou application mobile : que construire en 2026 ? et découvrez nos services.
Questions fréquentes
Mettre à jour WordPress corrige-t-il PHP2Shell ?
Non. La faille est dans PHP, le logiciel serveur sous WordPress. Votre hébergeur ou votre agence doit installer le PHP corrigé. Mettre à jour WordPress et les extensions reste important, car les attaquants testent les deux à la fois.
Comment savoir quelle version de PHP utilise mon site ?
Dans WordPress : Outils, Santé du site, Infos, Serveur. Dans votre panneau d’hébergement : la page de configuration ou de version PHP.
Mon hébergeur affiche PHP 8.3.35. Suis-je en sécurité ?
Peut-être. Plusieurs hébergeurs ajoutent le correctif à leur propre version sans changer le numéro. Demandez-leur de confirmer par écrit que votre PHP est corrigé pour CVE-2026-109618 et CVE-2026-109619.
Comment savoir si mon site a été piraté ?
Les signes courants sont des comptes administrateurs inconnus, des extensions que vous n’avez pas installées, des fichiers PHP dans le dossier uploads, des visiteurs redirigés vers d’autres sites, des pages de spam dans Google, ou un avertissement de votre hébergeur ou de Google. Certaines attaques restent silencieuses, d’où l’importance de vérifier les fichiers.
KIO peut-il vérifier mon site ?
Oui. Nous vérifions la version et le correctif de PHP, les fichiers de WordPress et des extensions, les comptes administrateurs et les fichiers suspects, nous faisons d’abord une sauvegarde, et nous vous expliquons simplement ce que nous avons trouvé. Écrivez-nous sur WhatsApp au +212 688 445 399 ou via la page contact pour un appel gratuit de 15 minutes.
