Mon site web est-il concerné par PHP2Shell ? Comment le vérifier en 15 minutes

Que votre site web soit concerné par PHP2Shell dépend de la version PHP sur le serveur, et non du CMS. Les versions sûres sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ainsi que les paquets de votre distribution Linux dans lesquels le correctif a été rétroporté. Vous pouvez trouver la version en quelques minutes dans l’espace client de l’hébergement, dans le menu WordPress « État du site » ou avec la commande php -v.

Des informations de fond sur la faille figurent dans l’article PHP2Shell : ce que les entreprises doivent savoir maintenant. Ici, il s’agit uniquement de la question : suis-je concerné, et que dois-je faire ?

Étape 1 : votre site web fonctionne-t-il avec PHP ?

WordPress, TYPO3, Joomla, Drupal, Contao, Shopware, Magento et de nombreux systèmes de création de sites chez les hébergeurs classiques utilisent PHP. Les sites web basés sur des systèmes de création de sites purement propriétaires de grandes plateformes ou sur des frameworks JavaScript modernes n’en utilisent souvent pas. En cas de doute, demandez à votre webdesigner ou à votre hébergeur.

Étape 2 : déterminer la version de PHP

Dans l’espace client de l’hébergement

Chez la plupart des hébergeurs, vous trouverez la version de PHP sous « Paramètres PHP », « Version PHP » ou dans les paramètres de l’espace web. Notez le numéro de version complet, par exemple 8.3.36 et non pas seulement 8.3.

Dans WordPress

Sous « Outils → État du site → Rapport → Serveur », WordPress affiche la version de PHP. Ici aussi, le numéro complet compte.

Sur des serveurs propres

Avec la commande php -v dans la ligne de commande. Attention : la version du serveur web peut différer de la version en ligne de commande. En cas de doute, vérifiez la version utilisée par le serveur web. Sur des distributions Linux comme Debian ou Ubuntu, le numéro de version seul dit peu de choses, car les correctifs sont souvent rétroportés vers d’anciens paquets. L’avis de sécurité de votre distribution fait foi.

Étape 3 : évaluer la version

Étape 4 : demander à l’hébergeur ou au prestataire

Envoyez un bref e-mail : « PHP sur notre espace web ou notre serveur est-il corrigé contre CVE-2026-109618 et CVE-2026-109619 (PHP2Shell) ? Merci d’indiquer aussi le numéro de version. » Une réponse écrite aide également à la documentation, par exemple vis-à-vis des délégués à la protection des données.

Étape 5 : ne pas oublier les appareils

Les pare-feu, routeurs, passerelles VPN et stockages réseau (NAS) disposent souvent d’une interface web avec PHP. Le BSI cite notamment des produits d’OPNsense, pfSense, QNAP et Synology comme au moins partiellement concernés. Vérifiez si le fabricant propose une mise à jour du firmware, puis installez-la. Les interfaces web de tels appareils ne devraient en principe pas être accessibles depuis Internet.

Étape 6 : rechercher des traces

Y a-t-il eu des anomalies entre le 17 et le jour de votre mise à jour ? De nouveaux fichiers PHP, des utilisateurs inconnus, des erreurs soudaines ? La suite des mesures à prendre est indiquée dans Site web piraté ? Reconnaître les signes et réagir correctement.

Vous n’êtes pas sûr que votre site web, votre boutique en ligne ou vos appareils soient concernés ? Contactez-nous. Nous vérifions vos systèmes, installons les mises à jour et vous disons honnêtement ce qu’il faut faire – même s’il s’avère que tout est en ordre. Pour commencer, un court entretien.

Questions fréquemment posées

Comment puis-je trouver ma version de PHP ?

Dans l’espace client de l’hébergement, sous les paramètres PHP, dans WordPress sous Outils → État du site → Rapport → Serveur, ou sur des serveurs propres avec la commande php -v.

Mon site web a été créé avec un constructeur de site. Dois-je faire quelque chose ?

Sur les grandes plateformes de création de sites, le fournisseur s’occupe des serveurs. En cas de doute, renseignez-vous. Si vous exploitez en plus vos propres appareils avec interface web, vérifiez-les séparément.

Mon serveur utilise PHP 8.1. Et maintenant ?

PHP 8.1 ne reçoit plus de mises à jour régulières. Pour PHP2Shell, il existe certes des correctifs rétroportés, mais à long terme, vous devriez passer à une version prise en charge. Plus d’informations dans l’article sur les versions PHP obsolètes.

État : 24 octobre 2026. Source : Avis de sécurité du BSI sur PHP2Shell.