Faille PHP (PHP2Shell) : pas de panne, mais une mise à jour urgente pour votre site

Non, Internet ne va pas « s’éteindre » aujourd’hui. Il n’y a pas de panne PHP, mais une faille PHP critique (en réalité deux), surnommée « PHP2Shell ». Le correctif officiel est publié ce mercredi 21 octobre 2026 à 16h (heure de Paris). Le vrai risque : un site sans mise à jour PHP pourrait être piraté dans les heures qui suivent.

Voici, en clair, ce que change cette faille de sécurité PHP, comment savoir si votre site WordPress ou PrestaShop est concerné et ce qu’il faut faire.

Faille PHP2Shell : que se passe-t-il exactement ?

Deux failles ont été découvertes au cœur même de PHP, le langage qui fait tourner WordPress, WooCommerce, PrestaShop, Drupal, Joomla ou Laravel. Elles portent les références CVE-2026-109618 et CVE-2026-109619 et sont notées 9,2 sur 10 en gravité.

Concrètement, un pirate pourrait prendre le contrôle d’un serveur à distance, avec une simple requête web, sans mot de passe. C’est ce qu’on appelle une « exécution de code à distance » (RCE).

  • 19-20 octobre : l’existence des failles fuite sur un forum tech, puis sur les réseaux sociaux. Des chercheurs en sécurité confirment qu’elles sont réelles. L’équipe PHP avance sa mise à jour d’un jour.
  • 20 octobre au soir : le CERT-EU (l’agence de cybersécurité des institutions européennes) recommande de mettre hors ligne les sites qui ne pourront pas être mis à jour rapidement.
  • 21 octobre, 16h : publication du correctif officiel par PHP (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35). L’ANSSI, via le CERT-FR, publie une alerte le même jour.

Pourquoi parle-t-on de « panne » ? Parce que PHP fait tourner près de 7 sites sur 10 (69 % selon W3Techs), et certains médias ont parlé de « 75 % d’Internet qui va s’éteindre ». C’est faux : aucune coupure générale n’est en cours. En revanche, des sites pourraient être volontairement mis hors ligne par prudence, ou piratés s’ils ne sont pas mis à jour.

Au moment où nous écrivons, aucune attaque massive n’est confirmée. Cloudflare signale toutefois les premières tentatives, et les experts s’attendent à des attaques automatisées très peu de temps après la publication du correctif.

Si votre site tourne sous PHP, considérez qu’il est concerné tant qu’il n’est pas mis à jour. Les failles toucheraient toutes les versions depuis PHP 5.4. Tout dépend ensuite de votre version :

Votre version de PHPCorrectif officielCe qu’il faut faire
PHP 8.5Oui : PHP 8.5.12Mettre à jour dès publication
PHP 8.4Oui : PHP 8.4.27Mettre à jour dès publication
PHP 8.3Oui : PHP 8.3.36Mettre à jour dès publication
PHP 8.2Oui : PHP 8.2.35Mettre à jour, et passer en 8.3+ avant le 31 décembre 2026 (fin de vie de PHP 8.2)
PHP 8.1, 8.0, 7.x, 5.xNon (fin de vie). Un correctif de dépannage existe pour 7.4 à 8.1, mais seul votre hébergeur ou votre prestataire peut l’installerMigrer vers PHP 8.2 minimum, ou correctif de l’hébergeur

Ces versions corrigées sont confirmées par l’avis officiel publié sur php.net le 21 octobre 2026. Les sites en PHP 8.1 ou plus ancien sont les plus à risque : la vraie solution reste la migration vers une version maintenue.

Comment connaître votre version ? Sur WordPress : Outils > Santé du site > Informations > Serveur. Sinon, dans l’espace client de votre hébergeur (rubrique PHP), ou en nous posant simplement la question.

Mise à jour PHP : le rôle de votre hébergeur

C’est votre hébergeur qui installe le correctif PHP sur ses serveurs. Chaque hébergeur communique à son rythme sur les actions à suivre.

Si votre site est suivi par Idetik, nous restons en contact avec les hébergeurs concernés et nous vous tiendrons informé de ce qui concerne votre site dès que nous aurons plus d’informations.

Que faire de votre côté ?

Vous n’êtes pas technicien ? Pas d’inquiétude : l’essentiel du travail revient à votre hébergeur. De votre côté, trois gestes simples suffisent :

  • Savoir qui gère votre site : votre hébergeur, et votre agence ou prestataire web si vous en avez un.
  • Surveiller les e-mails de votre hébergeur dans les prochains jours et suivre ses consignes.
  • Demander conseil à un professionnel avant toute manipulation technique, en cas de doute.

Ne changez pas vous-même la version de PHP ni les réglages du serveur sans accompagnement. Un mauvais choix peut rendre votre site inaccessible ou provoquer des erreurs.

Et les hébergeurs, dans tout ça ? Le correctif PHP est sorti le 21 octobre à 16h. C’est maintenant que les hébergeurs (OVHcloud, o2switch, alwaysdata, PlanetHoster, etc.) pourront l’installer sur leurs serveurs et annoncer la marche à suivre. Deux cas de figure :

  • L’hébergeur fait le travail lui-même : c’est le plus courant en hébergement mutualisé pour les versions PHP 8.2 à 8.5. Vous n’avez rien à faire, sinon vérifier ensuite que la version a bien changé.
  • L’hébergeur vous demande d’agir : par exemple changer de version PHP dans votre espace client, surtout si votre site tourne en PHP 8.1 ou plus ancien. Si vous n’êtes pas à l’aise, confiez cette étape à votre prestataire.

Surveillez donc les e-mails, le blog ou la page de statut de votre hébergeur dans les heures et jours qui suivent. Sans nouvelles de sa part, n’hésitez pas à contacter son support.

Attention aux « astuces » qui circulent sur les réseaux (modifier un réglage du fichier php.ini) : selon l’avis officiel de PHP, ces réglages ne font que réduire le risque, et seule la mise à jour protège complètement. Un pare-feu applicatif comme celui de Cloudflare aide en attendant, mais ne remplace pas le correctif.

Méfiez-vous aussi des « exploits » ou outils de test téléchargeables qui circulent : certains peuvent contenir des logiciels malveillants.

FAQ

Sources

Contactez-nous

Contactez-nous
Voir la page LinkedIn Voir les projets open source sur Github Voir la page Facebook Voir la page Instagram

Ces articles pourraient vous intéresser