PHP2Shell : ce que les entreprises doivent savoir maintenant sur la faille critique de PHP

PHP2Shell est le nom de deux failles de sécurité critiques dans le langage de programmation PHP (CVE-2026-109618 et CVE-2026-109619), publiées le 21 octobre 2026. Elles permettent à des attaquants d’exécuter du code malveillant sur des serveurs web sans authentification et sans intervention d’un utilisateur. L’Office fédéral allemand de la sécurité des technologies de l’information (BSI) classe la situation au niveau niveau d’alerte 3/Orange : des mesures doivent être prises immédiatement. La seule protection efficace consiste à mettre à jour vers une version corrigée de PHP.

PHP est à la base d’une grande partie d’Internet : derrière WordPress, TYPO3, Joomla, Drupal, Shopware et Magento, mais aussi derrière les interfaces web de pare-feu, de routeurs et de systèmes de stockage réseau. C’est pourquoi PHP2Shell ne concerne pas seulement les services informatiques, mais presque toute entreprise disposant de son propre site web. Cet article résume ce qui s’est passé et ce que vous devez faire maintenant. État : 24 octobre 2026.

Que s’est-il passé ?

Le 20 octobre, les développeurs de PHP ont annoncé à court terme une mise à jour de sécurité critique, après que des détails ont été connus à l’avance. Le 21 octobre ont suivi les correctifs et les descriptions techniques. Selon Amazon Threat Intelligence, une tentative d’attaque avait déjà eu lieu le 17 octobre, donc avant la publication. Les failles ont notamment été découvertes par la société de sécurité Calif dans le cadre d’un projet avec OpenAI ainsi que, indépendamment, par Wiz – à chaque fois avec l’aide de modèles d’IA.

Les faits les plus importants

Qui est concerné ?

• Sites web et boutiques sur base PHP, par exemple WordPress, TYPO3, Joomla, Drupal ou Shopware – indépendamment du fait que le CMS lui-même soit à jour. La version PHP sur le serveur est déterminante.
• Sites web hébergés : Dans le cas du shared hosting et des serveurs gérés, c’est généralement l’hébergeur qui est responsable de la mise à jour de PHP. Renseignez-vous.
• Serveurs et conteneurs propres : Ceux qui exploitent eux-mêmes leur infrastructure doivent mettre à jour PHP et reconstruire les images Docker.
• Appareils avec interface web : Selon le BSI, des produits de F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology et cPanel sont notamment au moins partiellement concernés. Ici, seuls les mises à jour de firmware des fabricants peuvent aider.

Ce que vous devez faire maintenant

1. Inventaire : Quels sites web, boutiques, serveurs et appareils avec interface web exploitez-vous ? PHP, en tant que composant d’un autre logiciel, compte également.
2. Vérifier la version de PHP et mettre à jour vers une version corrigée. La manière de procéder est montrée par Mon site web est-il concerné?.
3. Demander à l’hébergeur et aux prestataires, si les mises à jour ont été installées – par écrit, avec le numéro de version.
4. Mettre à jour le firmware des appareils,dès que les fabricants fournissent des mises à jour.
5. Si aucune mise à jour n’est possible :Le BSI recommande d’envisager une séparation temporaire d’Internet, car les solutions de contournement n’offrent pas une protection complète.
6. Vérifier les traces d’une attaque,par exemple de nouveaux fichiers PHP ou des processus inhabituels. Détails dans Site web piraté ?.

Pourquoi cela va si vite cette fois-ci

Le BSI souligne que des attaquants peuvent, à l’aide d’outils assistés par l’IA, analyser aujourd’hui des correctifs en peu de temps et en tirer des attaques. Il estimait probable une exploitation à grande échelle dans les heures suivant la publication des correctifs. Le délai entre la publication et l’attaque se réduit donc. Des mises à jour « à un moment donné dans les prochaines semaines » ne suffisent plus.

Un pare-feu applicatif web ne suffit pas

Des fournisseurs comme Cloudflare ont publié des règles contre des vecteurs d’attaque connus. Un pare-feu applicatif web (WAF) peut compliquer les attaques, mais ne remplace pas une mise à jour, selon le BSI et l’autorité américaine CISA. La seule protection complète est l’application des correctifs ou la mise hors ligne d’Internet.

Vous ne savez pas si votre site web, votre boutique en ligne ou vos appareils sont concernés ? Contactez-nous. Nous vérifions vos systèmes, installons les mises à jour et vous disons honnêtement ce qu’il faut faire – même s’il s’avère que tout est en ordre. Pour commencer, un court entretien.

Questions fréquemment posées

Qu’est-ce que PHP2Shell ?

PHP2Shell est la désignation de deux failles de sécurité critiques dans PHP (CVE-2026-109618 et CVE-2026-109619). Elles permettent à des attaquants d’exécuter du code malveillant sur des serveurs web utilisant PHP, sans authentification. Le nom fait référence à la faille bien connue Log4Shell.

Quelles versions de PHP sont sûres ?

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour les versions 7.4, 8.0 et 8.1, qui ne sont plus prises en charge, il existe des correctifs rétroportés ; certaines distributions Linux fournissent aussi leurs propres mises à jour rétroportées.

Mon site WordPress est-il concerné ?

S’il fonctionne sur un serveur avec une version de PHP non corrigée, oui. Une mise à jour de WordPress seule ne suffit pas, car la faille se trouve dans PHP lui-même. Ce qui compte, c’est de savoir si votre hébergeur a mis PHP à jour.

Est-ce suffisant si mon hébergeur s’en occupe ?

Dans le cas de l’hébergement mutualisé, c’est généralement l’hébergeur qui est responsable. Faites-vous néanmoins confirmer que les mises à jour ont été installées, et vérifiez en plus si vous exploitez vos propres serveurs ou appareils avec interface web.

État : 24 octobre 2026. Sources : Avis de sécurité du BSI sur PHP2Shell, CISA.