Faille PHP « php2shell » : votre site est-il exposé, et que faire maintenant ?

Le 21 octobre 2026, l’équipe de PHP a publié en urgence des correctifs pour deux failles critiques, surnommées « php2shell ». Dans les heures qui ont suivi, les premières attaques étaient déjà repérées sur Internet. Si votre site tourne sous WordPress, PrestaShop, Joomla ou n’importe quel outil écrit en PHP, il est concerné.

Pas de panique, mais pas d’attente non plus. Voici ce qu’est cette faille, comment savoir si votre site est exposé, et ce qu’il faut faire, dans l’ordre.

php2shell, c’est quoi exactement ?

PHP est le langage qui fait fonctionner la grande majorité des sites de petites entreprises. WordPress est écrit en PHP, comme la plupart des boutiques en ligne et des formulaires de contact « maison ». Quand quelqu’un visite votre site, c’est PHP qui fabrique la page sur le serveur.

Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, permettent à un inconnu de faire exécuter ses propres commandes sur le serveur de votre site, sans mot de passe, sans compte, simplement en lui envoyant une requête piégée. Concrètement, il peut lire ou modifier vos fichiers, ajouter un compte administrateur, injecter des liens publicitaires, rediriger vos visiteurs vers des arnaques ou se servir de votre site pour en attaquer d’autres.

Leur note de gravité est de 9,2 sur 10. Elles concernent toutes les versions de PHP depuis la 5.4. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Aucun correctif n’est prévu pour PHP 5 et PHP 7.

La faille devait être révélée plus tard, avec le temps de préparer les mises à jour. Une fuite a précipité l’annonce. Résultat : les pirates connaissaient la faille en même temps que les hébergeurs, et les robots qui balaient Internet à la recherche de sites vulnérables se sont mis au travail tout de suite.

Est-ce que mon site est concerné ?

Trois questions suffisent pour vous situer.

Votre site utilise-t-il PHP ? Si c’est un WordPress, un PrestaShop, un Joomla, un Drupal ou un site développé « sur mesure » il y a quelques années, la réponse est oui. Les sites construits avec Wix, Squarespace ou Shopify ne sont pas gérés par vous côté serveur : c’est la plateforme qui s’en charge. Les sites statiques, comme ceux que nous construisons avec Astro, n’exécutent pas de PHP pour afficher leurs pages et n’offrent pas cette porte d’entrée.

Quelle est votre version de PHP ? Sur WordPress, elle s’affiche dans Outils > Santé du site > Infos > Serveur. Sinon, elle se trouve dans l’espace client de votre hébergeur, dans les réglages de l’hébergement. Si vous voyez un numéro inférieur à ceux cités plus haut, votre site est exposé.

Qui s’occupe de votre hébergement ? Certains hébergeurs mettent PHP à jour automatiquement, d’autres laissent ce choix au client, surtout quand le site est réglé sur une version précise. Beaucoup de sites tournent encore sur une version choisie il y a des années, parce que personne n’y a touché depuis la mise en ligne. Ce sont eux qui sont visés en premier.

Les gestes à faire tout de suite

1. Passer PHP sur une version corrigée

C’est la priorité absolue. Dans l’espace client de votre hébergeur, choisissez la dernière version de la branche que vous utilisez (8.2, 8.3, 8.4 ou 8.5). Si vous êtes encore en PHP 7 ou plus ancien, il faut monter en 8.2 au minimum.

Prenez une sauvegarde complète avant, fichiers et base de données. Sur un site récent et entretenu, le changement passe sans difficulté. Sur un site de plusieurs années, un vieux thème ou une extension abandonnée peut ne pas supporter PHP 8 : le site affiche une erreur, ou l’administration devient inaccessible. C’est désagréable, mais c’est un problème qui se corrige. Un site piraté coûte beaucoup plus cher à remettre en état.

2. Vérifier que personne n’est déjà entré

Mettre PHP à jour ferme la porte. Cela ne fait pas sortir quelqu’un qui serait déjà entré. Si votre site est resté exposé après le 21 octobre, vérifiez au minimum :

• La liste des utilisateurs de l’administration : un compte administrateur inconnu, même avec un nom anodin, est un signal d’alerte.
• Les fichiers récemment modifiés à la racine du site et dans les dossiers des thèmes et extensions. Un fichier .php au nom bizarre, un php.ini ou un .htaccess qui n’était pas là, une date de modification qui tombe ces derniers jours.
• Le comportement du site vu de l’extérieur : ouvrez-le depuis votre téléphone en 4G, depuis une recherche Google plutôt qu’en tapant l’adresse. Les redirections pirates sont souvent conçues pour ne pas se déclencher quand c’est le propriétaire qui regarde.
• La Search Console, si vous l’avez : la rubrique « Problèmes de sécurité » et l’apparition de pages que vous n’avez jamais créées.

Au moindre doute, changez tous les mots de passe : administration du site, base de données, accès FTP et espace client de l’hébergeur.

3. Mettre le reste à jour dans la foulée

Tant que vous y êtes, mettez à jour WordPress, le thème et les extensions, et supprimez celles qui ne servent plus. php2shell n’a rien à voir avec elles, mais les pirates qui scannent les sites testent toutes les portes à la fois.

Pourquoi tant de sites restent exposés

Une faille comme celle-ci ne surprend pas les professionnels : PHP, WordPress et les extensions publient des correctifs de sécurité toutes les semaines. Ce qui fait la différence, c’est le délai entre la sortie du correctif et son application.

Le problème des petites entreprises, ce n’est pas la négligence. C’est que personne n’est chargé de surveiller. Le site a été livré, il fonctionne, le prestataire est passé à autre chose et le gérant a un commerce à faire tourner. Personne ne lit les alertes de sécurité, personne ne sait quelle version de PHP tourne sur l’hébergement, et la première alerte arrive quand un client appelle pour dire que le site affiche des publicités pour un casino.

Les cas les plus délicats sont les sites anciens : construits il y a cinq ou huit ans sur un thème qui n’est plus maintenu, ils ne supportent pas les versions récentes de PHP. On les laisse donc sur une version dépassée pour qu’ils continuent de s’afficher, et c’est précisément cette version qui n’aura jamais de correctif.

La maintenance mensuelle : ne plus vivre ce genre de journée

La seule vraie protection contre ce type d’événement, c’est que quelqu’un s’en occupe avant l’attaque, de façon régulière. C’est le rôle de notre forfait de maintenance Sérénité, proposé sur les sites que nous livrons comme sur ceux que nous reprenons :

• Mises à jour de sécurité du site et suivi de l’hébergement, pour que les correctifs soient appliqués dès leur sortie, pas des mois plus tard.
• Sauvegardes externalisées et redondance : une copie du site stockée ailleurs que sur le serveur, pour pouvoir revenir en arrière si un incident arrive malgré tout.
• Renouvellement de l’hébergement et du nom de domaine, pour ne jamais perdre son adresse sur un oubli.
• Petites modifications : un tarif, un horaire, un texte à changer, sans devis à chaque fois.

Le forfait est sans engagement. Le jour où une faille comme php2shell sort, les sites suivis n’attendent pas que leur propriétaire lise la presse : on intervient.

Sans forfait, nous restons disponibles, mais la remise en état se fait à la demande et se facture au temps passé. Et le temps passé sur un site piraté est toujours plus long que celui d’une mise à jour faite à temps.

Votre site est exposé ou vous avez un doute ? Intervention d’urgence

Si votre site tourne encore sur une version non corrigée, si vous ne savez pas qui gère votre hébergement, ou si vous constatez déjà un comportement anormal, nous intervenons en urgence, y compris sur des sites que nous n’avons pas créés. Une intervention se déroule en trois temps :

1. Sécuriser : passage de PHP sur une version corrigée, sauvegarde préalable, changement des accès.
2. Vérifier et nettoyer : contrôle des comptes, des fichiers modifiés et du comportement du site vu par Google et par les visiteurs, suppression de tout ce qui n’a rien à faire là.
3. Remettre en état : si le thème ou une extension ne supporte pas PHP 8, on corrige ce qui peut l’être et on vous dit franchement quand le site a atteint ses limites.

L’intervention d’urgence est facturée au temps réellement passé : un site récent se sécurise vite, un site ancien et déjà infecté demande davantage. On vous dit ce qu’on trouve au fur et à mesure.

Quand un site a été construit sur une base trop ancienne pour suivre les mises à jour, la solution durable est souvent une refonte. Nous conservons les adresses des pages et le nom de domaine pour ne rien perdre en référencement, et nous passons, quand c’est possible, sur un site statique qui ne dépend plus de PHP pour s’afficher. Vous trouverez le détail de notre façon de travailler sur la page création de site internet.

Pour une urgence, appelez-nous directement au 07 46 18 44 56, ou écrivez-nous par le formulaire de contact en indiquant l’adresse de votre site et le nom de votre hébergeur. Pour mettre votre site sous maintenance avant le prochain incident, le même formulaire suffit : on regarde votre site, on vous dit ce qu’il faut corriger d’abord, et on vous envoie un devis.