Le 21 octobre 2026, l’équipe de développement de PHP a publié en urgence des correctifs pour deux vulnérabilités critiques, désignées sous le nom de « PHP2Shell ». Une simple requête suffit à prendre le contrôle d’un site qui n’aurait pas été mis à jour, et des attaques sont déjà observées. Les CMS les plus répandus – WordPress, PrestaShop, Drupal, Joomla – ainsi que la majorité des sites web sont concernés.
Description de la faille PHP2Shell
PHP est le langage qui alimente une grande partie du web. La faille PHP2Shell se situe dans le cœur même de PHP. Notée 9,2 sur 10, elle permet à un attaquant d’exécuter des commandes sur le serveur sans aucun identifiant ni mot de passe. Aucun CMS ou extension n’est en cause ; seule la mise à jour du moteur PHP résout le problème.
Conséquences potentielles
Un pirate qui prend le contrôle du serveur peut :
– Voler fichiers clients, commandes, mots de passe et clés d’accès aux outils de paiement, CRM ou emailing. Toute fuite de données personnelles doit être signalée à la CNIL sous 72 heures.
– Pirater ou rediriger le site vers des arnaques, ce qui peut entraîner l’affichage par Google du message « site dangereux » et décourager les visiteurs.
– Injecter des pages de spam qui détériorent le référencement pendant plusieurs mois.
– Utiliser le serveur pour envoyer du spam, faisant classer les e‑mails légitimes comme indésirables et pouvant conduire l’hébergeur à suspendre le site.
– Bloquer ou rançonner le site. Chaque jour d’indisponibilité engendre une perte de ventes ou de contacts, et la remise en état coûte généralement plus cher qu’une simple mise à jour.
Pourquoi agir immédiatement
La méthode d’exploitation a été rendue publique le 21 octobre, accompagnée d’une vidéo de démonstration diffusée par erreur avant la sortie des correctifs. Cloudflare a déjà détecté des tentatives d’attaque sur les sites de ses clients. La taille du site ne constitue aucune protection ; des robots balaient automatiquement des milliers de sites à la recherche de versions vulnérables. Les sites livrés puis laissés sans maintenance, surtout ceux fonctionnant sous PHP 8.1 ou antérieur, sont les plus exposés, car aucune mise à jour officielle simple n’existe pour ces versions.
Êtes‑vous concerné ?
Posez‑vous les trois questions suivantes :
1. Quelle version de PHP fait tourner mon site ? Vous pouvez la vérifier dans l’espace client de votre hébergeur ou, sous WordPress, via Outils > Santé du site.
2. Qui assure la gestion du serveur ? Hébergeur, prestataire ou personne ?
3. Le correctif a‑t‑il été appliqué ? Les versions sécurisées sont PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou toute version ultérieure. Si vous ne pouvez répondre à l’une de ces questions, considérez votre site comme exposé.
Actions à entreprendre
– Hébergement mutualisé ou infogéré : adressez‑vous par écrit à votre hébergeur pour savoir s’il a installé le correctif et à quelle date.
– Serveur dédié ou VPS non maintenu : faites intervenir immédiatement un développeur pour mettre à jour PHP.
– Version PHP 8.1 ou antérieure : migrez vers une version maintenue. Une protection temporaire peut être mise en place, mais elle ne constitue qu’un pansement.
– Les organismes de cybersécurité britanniques (NCSC) et français (CERT‑FR, rattaché à l’ANSSI) recommandent d’isoler ou de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour rapidement.
– Après la mise à jour, changez tous les mots de passe et clés d’accès sensibles, puis vérifiez l’absence de comptes administrateur ou de fichiers suspects.
Si vous n’êtes pas à jour
La mise à jour d’un site par un professionnel prend généralement peu de temps, alors qu’une intrusion peut coûter des semaines. Publiez dès maintenant un projet « Mise à jour PHP urgente » sur Codeur.com pour obtenir rapidement des devis de développeurs freelances.
Pour les développeurs freelances
C’est le moment d’auditer les sites de vos clients, de proposer un contrat de maintenance et d’éviter qu’ils soient victimes de la prochaine alerte.
Sources : PHP Foundation, Today’s PHP security release php.net (annonce du 21 octobre 2026) ; CERT‑FR (ANSSI), alerte CERTFR‑2026‑ALE‑014 ; NCSC, Critical security issue affecting PHP ; CNIL, notifier une violation de données personnelles ; IT‑Connect, PHP2Shell : correctifs d’urgence.
Source : Codeur
Service
LOGICIEL SUR MESURE POUR VOTRE ENTREPRISE OU ORGANISATION
Conception de logiciels sur-mesure pour Commerce, Logistique, Eau & Assainissement, RH, BTP, Santé & ONG. Solutions web et mobiles adaptées avec intégration IA
À partir de 350 000 F CFA PAIEMENT UNIQUEDécouvrir le service
