PHP2Shell : les deux failles critiques de PHP du 21 octobre
Le 21 octobre 2026, deux failles critiques de PHP ont été publiées. Elles permettent, sans mot de passe, de faire exécuter du code à distance sur le serveur. Voici qui est concerné, comment vérifier votre site, et quoi faire.
En bref. CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell », sont notées 9,8 sur 10. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le CERT-FR a publié l'alerte CERTFR-2026-ALE-014. Si votre site tourne sur PHP 8.1 ou une version antérieure, il ne recevra pas ce correctif officiel.
Qu'est-ce que c'est, concrètement
PHP est le langage qui fait fonctionner la grande majorité des sites web : WordPress, Drupal, Joomla, et la plupart des sites sur mesure. Ces deux failles se situent dans le cœur de PHP lui-même, pas dans un site en particulier. C'est ce qui les rend graves : elles touchent n'importe quel serveur qui exécute une version vulnérable de PHP, quel que soit le site.
« Exécution de code à distance sans authentification » veut dire qu'un inconnu, depuis Internet, peut faire tourner ses propres commandes sur le serveur, sans compte ni mot de passe. À partir de là, il peut lire ou modifier les fichiers, récupérer des identifiants, ou installer une porte dérobée.
Suis-je concerné ? Les versions
Tout dépend de la branche de PHP sur laquelle tourne votre site.
| Votre branche PHP | Situation |
|---|---|
| 8.2, 8.3, 8.4, 8.5 | Maintenue : un correctif existe, à appliquer (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12). |
| 8.1 et antérieures | Fin de vie : plus de correctif de sécurité officiel. La migration est la seule vraie sortie. |
| 7.4, 7.x | Fin de vie depuis des années : exposée, et à migrer en priorité. |
Vérifiez votre site en 10 secondes
Notre scanner lit la version de PHP que votre site affiche publiquement. Lecture passive, gratuit, sans inscription. Aucun test de faille.
Vérifier mon siteQuoi faire, selon votre cas
Si vous êtes sur une branche maintenue (8.2 et plus)
Appliquez la mise à jour de sécurité correspondante dès que possible. Si vous êtes chez un hébergeur mutualisé, cette mise à jour dépend parfois de lui. Vérifiez qu'elle a bien été passée. Testez ensuite que votre site fonctionne toujours.
Si vous êtes sur une branche en fin de vie (8.1 et avant)
Il n'y a pas de correctif officiel qui arrive. La bonne réponse est de migrer vers une version maintenue (8.4). C'est un travail à part entière : certaines fonctions ont disparu entre PHP 7 et 8, et il faut adapter le code puis vérifier que rien ne casse.
Ce qu'il ne faut pas croire. Mettre à jour WordPress ne suffit pas : la faille est dans PHP, pas dans WordPress. Et aucun prestataire ne peut honnêtement promettre une sécurité « à 100 % » : une faille inconnue peut toucher n'importe qui. Ce qui compte, c'est d'être sur une version qui reçoit des correctifs, et d'appliquer ces correctifs vite.
Comment on peut aider
Chez agents-php, nous migrons les projets PHP 5 et 7 vers PHP 8.4 en pull requests testées, et nous surveillons ensuite chaque jour les failles qui concernent vos sites. Tout est validé par un humain, rien n'est appliqué sans garde-fou. En savoir plus, ou vérifier votre site.
Sources :
CERT-FR, alerte CERTFR-2026-ALE-014 ·
php.net — versions supportées ·
NVD, CVE-2026-109618 / 109619.
Cet article est informatif. Il ne constitue pas un audit de votre site ; seul un examen de votre configuration permet de conclure.