PHP2Shell est la faille de sécurité la plus grave qu'ait connue le langage PHP depuis des années. Révélée le 21 octobre 2026, elle touche le cœur même du langage qui fait tourner la grande majorité des sites web du monde — y compris, très probablement, le vôtre.

Voici ce que c'est, qui est concerné, et ce qu'il faut faire. Sans jargon inutile.

Qu'est-ce que la faille PHP2Shell ?

PHP2Shell regroupe deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur 10 — le niveau « critique ». Elles permettent à un attaquant d'exécuter du code à distance sur le serveur, sans mot de passe ni compte. En clair : un pirate peut prendre le contrôle d'un site vulnérable depuis n'importe où, simplement en lui envoyant une requête piégée.

Le nom vient de là : la faille transforme une simple visite en un accès « shell » — une ligne de commande — sur votre serveur. À partir de là, l'attaquant peut voler vos données, défigurer le site, installer un logiciel malveillant ou l'utiliser pour attaquer d'autres cibles.

Pourquoi c'est aussi grave

PHP fait tourner l'écrasante majorité des sites : WordPress, PrestaShop, Joomla, Laravel, et la plupart des sites sur mesure. La faille est dans PHP lui-même, pas dans ces outils — ce qui veut dire que des millions de sites sont concernés d'un coup.

Aucune action de l'internaute n'est nécessaire : contrairement à l'hameçonnage, la faille s'exploite directement. Pire, des tentatives d'exploitation ont été observées dès le 17 octobre, avant même la publication officielle, et les détails techniques ont fuité publiquement. L'exploit est donc déjà à la portée de n'importe quel attaquant, et les serveurs vulnérables sont activement scannés en ce moment même.

Suis-je concerné ?

Votre site est vulnérable si son serveur tourne sous une version de PHP antérieure à l'un de ces correctifs, publiés le 21 octobre 2026 :

Si votre site tourne encore sous PHP 8.1, 8.0, 7.x ou 5.x, c'est encore plus grave : ces versions sont en fin de vie et ne recevront jamais de correctif. Elles resteront vulnérables pour toujours, et la seule solution est de migrer vers une version récente.

Une troisième faille a été ajoutée le 23 octobre (CVE-2026-115560) sur certaines configurations particulières ; l'équipe PHP recommande de désactiver session.upload_progress en attendant la prochaine mise à jour.

Comment vérifier en 30 secondes

La version de PHP d'un site est très souvent visible publiquement, dans les en-têtes de réponse du serveur (l'en-tête X-Powered-By). C'est exactement ce que contrôle notre scanner de sécurité : il détecte automatiquement les sites exposés à PHP2Shell et aux autres failles critiques, puis permet de prévenir leur propriétaire pour les corriger. Si vous ne connaissez pas la version PHP de votre site, demandez-nous un diagnostic gratuit — réponse le jour même.

Que faire maintenant

  1. Mettre PHP à jour vers 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 ou plus récent. C'est la seule protection complète : l'équipe PHP a été claire, il n'existe pas de contournement total.
  2. Si la mise à jour immédiate est impossible, appliquer les mesures temporaires recommandées : memory_limit à -1, post_max_size au plus bas possible, et session.upload_progress.enabled à 0.
  3. Masquer la version de PHP (expose_php = Off) pour cesser de livrer l'information aux attaquants.
  4. Vérifier qu'aucune porte n'a déjà été ouverte : fichiers inconnus récemment ajoutés, tâches planifiées suspectes, nouveaux comptes administrateurs.

Un avertissement important : mettre PHP à jour sans précaution peut casser un site ancien dont le thème, les extensions ou le code sur mesure ne sont pas compatibles avec la nouvelle version. Il faut toujours tester la mise à jour sur une copie avant de basculer le site en production.

Comment Tourak Digital vous protège

Nous appliquons le correctif PHP2Shell sous 24 heures, après une sauvegarde complète et un test sur copie, pour ne rien casser au passage. Nous vérifions ensuite que le serveur n'a pas déjà été compromis, nous masquons les informations sensibles exposées, et nous mettons en place une surveillance continue qui vous alerte à la prochaine faille. Contactez-nous pour un audit de sécurité gratuit de votre site.

Questions fréquentes

Mon site est petit, suis-je vraiment une cible ?

Oui. Les attaques PHP2Shell sont automatisées : des robots balayent Internet en continu et frappent tout serveur vulnérable, quelle que soit sa taille ou sa notoriété.

J'ai un simple site WordPress, suis-je concerné ?

Oui, car WordPress fonctionne grâce à PHP. La faille se trouve dans PHP lui-même, elle touche donc aussi bien WordPress que PrestaShop, Joomla, Laravel ou un site développé sur mesure.

Mon hébergeur s'en occupe-t-il automatiquement ?

Pas toujours. Certains hébergeurs mutualisés mettent PHP à jour pour vous, d'autres laissent le choix de la version à leurs clients et ne touchent à rien sans votre accord. C'est précisément ce qu'il faut vérifier.

Comment savoir si mon site a déjà été piraté ?

Un audit de sécurité recherche les signes d'intrusion laissés par l'exploitation de la faille. Au moindre doute, contactez-nous pour un diagnostic.