PHP2Shell (CVSS 9.2) : ce que cette faille critique de PHP change pour votre site

Le 22 octobre 2026, deux failles critiques ont été rendues publiques dans PHP, le langage qui fait tourner la grande majorité des sites web : WordPress, PrestaShop, Joomla, Drupal, et une bonne partie des sites développés sur mesure. Regroupées sous le nom PHP2Shell (CVE-2026-109618 et CVE-2026-109619), elles sont notées 9.2 sur 10 sur l’échelle CVSS, le niveau « critique ».

Voici l’essentiel, sans jargon.

Situation en évolution. De nouvelles informations sont publiées chaque jour sur ces failles. Nous suivons la situation de près et mettrons cet article à jour au fil des annonces.

Pourquoi c’est grave

Pour une fois, le problème ne vient pas d’une extension mal écrite ou d’un thème piraté, mais du moteur PHP lui-même. Les deux failles sont liées à la gestion de la mémoire du moteur.

Leur exploitation permet à un attaquant, sans compte ni mot de passe, d’exécuter son propre code sur le serveur. Concrètement, un site vulnérable peut se retrouver :

avec ses données clients ou sa base de données volées ;
infecté par un logiciel malveillant ou redirigé vers des sites frauduleux ;
utilisé pour envoyer du spam, ce qui ruine la réputation de vos e-mails ;
défiguré ou mis hors ligne.

Plusieurs éditeurs de sécurité signalent déjà des premières tentatives d’exploitation. Il faut donc agir vite.

Qui est concerné ?

Selon les analyses publiées, toutes les versions de PHP depuis la 5.4 jusqu’aux versions 8.x sont touchées. En pratique, presque tous les sites PHP en ligne aujourd’hui.

Le projet PHP a publié des versions corrigées pour les branches maintenues : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Pour les anciennes versions (7.4, 8.0, 8.1), qui ne sont plus officiellement maintenues, seules des corrections au niveau du code source existent. C’est une raison de plus pour ne pas rester sur une version de PHP en fin de vie.

Votre site n’a pas besoin d’être « mal fait » pour être exposé : un site WordPress parfaitement à jour reste vulnérable si le PHP du serveur ne l’est pas.

Ce que nous avons fait pour les sites hébergés chez OVS Corp

Dès l’annonce, notre équipe a déployé des mesures de protection sur l’ensemble de notre plateforme d’hébergement :

neutralisation du point d’entrée utilisé par ces attaques ;
durcissement des limites appliquées à chaque site ;
un module de protection supplémentaire, qui bloque aussi deux autres vulnérabilités de PHP qui ne sont pas encore corrigées officiellement.

Ces protections sont actives sur tous les sites que nous hébergeons depuis le 22 octobre 2026. Aucun patch ni mise à jour de PHP n’est nécessaire de la part de nos clients. Nous continuons de suivre les publications du projet PHP et nous appliquons chaque correctif officiel dès qu’il est disponible pour notre infrastructure.

C’est exactement le rôle d’un hébergement géré : surveiller, réagir le jour même, et protéger vos sites avant que vous ayez à vous en préoccuper.

Ce que vous pouvez faire de votre côté

La sécurité d’un site reste une responsabilité partagée. Quelques réflexes simples réduisent fortement les risques :

mettez à jour WordPress, PrestaShop, vos thèmes et vos extensions dès qu’une mise à jour est proposée ;
supprimez les extensions inutilisées, même désactivées ;
utilisez des mots de passe forts et activez la double authentification sur les comptes administrateur ;
gardez vos propres sauvegardes, en plus de celles de votre hébergeur.

Votre site n’est pas hébergé chez nous ?

Demandez à votre hébergeur s’il a appliqué le correctif officiel ou des mesures de protection contre PHP2Shell, et depuis quand. S’il ne peut pas vous répondre clairement, contactez-nous : nous pouvons vérifier l’exposition de votre site et vous proposer une migration vers notre hébergement web sécurisé.

Sources : avis publiés par le projet PHP et par les organismes et éditeurs de sécurité, notamment Tenable et la Cyber Security Agency de Singapour.