Sommaire
Deux failles de sécurité très graves ont été découvertes dans PHP — le langage qui fait fonctionner la grande majorité des sites web, dont presque tous les sites WordPress. Les chercheurs les ont baptisées « PHP2Shell ». Le correctif officiel a été publié ce mercredi 21 octobre 2026, et les premières attaques ont déjà été repérées le matin même. Si vous avez un site web, voici ce qui se passe, expliqué sans jargon, et ce que vous devez faire.
PHP, c’est quoi exactement ? Imaginez votre site comme un restaurant. Les pages que voient vos visiteurs, c’est la salle. PHP, c’est la cuisine : c’est là que tout se prépare — afficher un article, traiter un formulaire, enregistrer une commande. Vos visiteurs ne le voient jamais, mais sans lui, rien ne fonctionne. WordPress, Joomla, Drupal, PrestaShop et la plupart des boutiques en ligne tournent avec PHP.
Quel est le problème ? Les deux failles (référencées CVE-2026-109618 et CVE-2026-109619, gravité 9,2 sur 10) permettent à un inconnu, sans aucun mot de passe, de prendre le contrôle du « moteur » de votre site. Concrètement, un pirate peut modifier vos pages, voler les données de vos clients, envoyer du spam depuis votre site ou y cacher des virus destinés à vos visiteurs. Et presque toutes les versions de PHP utilisées ces dix dernières années sont concernées, depuis PHP 5.4.
Pourquoi il faut agir vite. Les détails techniques des failles ont fuité le 20 octobre, avant même la sortie du correctif. Cloudflare, qui protège des millions de sites, a détecté les premières tentatives d’attaque dès le matin du 21 octobre et a activé des filtres d’urgence. Les spécialistes s’attendent à des attaques massives dans les heures et les jours qui viennent : quand un correctif sort, les pirates savent exactement où regarder.
La bonne nouvelle : le correctif existe. Les versions réparées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Il « suffit » de mettre à jour PHP. Tout l’enjeu est de savoir qui doit appuyer sur le bouton.
Ce que vous devez faire, selon votre situation :
- Vous êtes en hébergement mutualisé (le cas le plus fréquent) : la mise à jour de PHP sur le serveur, c’est le travail de votre hébergeur, pas le vôtre. Vérifiez ses annonces ou sa page de statut. Et s’il n’a rien publié, contactez le support et posez la question noir sur blanc : « Avez-vous appliqué le correctif PHP2Shell (CVE-2026-109618 et CVE-2026-109619) sur mon serveur ? »
- Vérifiez votre version de PHP. Dans WordPress : menu Outils, puis Santé du site, onglet Infos, section Serveur. Si vous lisez PHP 7.x, 8.0 ou 8.1, attention : ces anciennes versions ne recevront pas de correctif officiel. Il faut passer à PHP 8.2 ou plus récent — votre hébergeur peut basculer la version depuis votre espace client ; pensez à vérifier que votre site fonctionne toujours après le changement.
- Vous gérez vous-même un VPS ou un serveur dédié : mettez PHP à jour dès aujourd’hui vers l’une des versions corrigées ci-dessus. Chaque heure compte.
- Ne comptez pas uniquement sur Cloudflare ou sur un plugin de sécurité WordPress. La faille se situe dans le moteur, avant même que WordPress démarre : un plugin, même excellent, ne peut pas la bloquer. Cloudflare filtre une partie des attaques connues — utile pour gagner du temps, mais ça ne remplace pas la mise à jour.
- Après la mise à jour, jetez un œil à votre site : page modifiée, compte administrateur inconnu, contenu bizarre dans Google… Au moindre doute, demandez à votre hébergeur un contrôle de sécurité : une mise à jour ne répare pas un site déjà infiltré.
En résumé : si votre hébergeur est sérieux, le correctif est déjà appliqué ou en cours, et il vous reste juste à vérifier votre version de PHP. C’est une affaire de quelques minutes — et c’est exactement le genre de moment qui distingue un hébergement qui veille sur vous d’un hébergement qui dort.
Lento dit : Moi, je dors beaucoup, mais mon serveur, lui, est à jour. Si votre hébergeur ne sait pas ce que c’est que « PHP2Shell » quand vous l’appelez, vous avez déjà la réponse à la question que vous n’osiez pas poser.
