Le 21 octobre 2026, l’équipe de développement de PHP a publié en urgence des correctifs pour deux failles critiques appelées « PHP2Shell ». Une simple requête suffit à prendre le contrôle d’un site qui n’a pas été mis à jour, et des attaques sont déjà constatées sur des plateformes majeures telles que WordPress, PrestaShop, Drupal ou Joomla.
Contexte et publication des correctifs
Une mise à jour a été rendue disponible le 26 octobre 2026 pour corriger la faille PHP2Shell. Deux jours plus tard, le 23 octobre, une seconde vulnérabilité (CVE‑2026‑115560) a été signalée. Elle exploite le même mécanisme interne de PHP et permet également l’exécution de code sur le serveur. Aucun correctif n’est encore proposé pour cette nouvelle faille, et les correctifs du 21 octobre ne la couvrent pas.
Mesure temporaire recommandée
En attendant un correctif, il est conseillé de désactiver l’option « Session Upload Progress » de PHP. Cette configuration peut être modifiée en quelques minutes par le développeur ou l’hébergeur du site.
Conséquences d’une compromission
Une exploitation réussie peut entraîner le vol de données clients, de mots de passe, de clés d’accès aux outils de paiement, CRM ou emailing. En cas de fuite de données personnelles, la CNIL doit être informée dans les 72 heures. Le site peut être piraté, redirigé vers des arnaques, classé « site dangereux » par Google, ou subir une dégradation du référencement due à l’injection de pages spam. Le serveur peut être détourné pour l’envoi de spam, ce qui conduit souvent à la suspension du service par l’hébergeur. Des blocages ou des rançonnements sont également possibles, chaque jour d’indisponibilité engendrant une perte de ventes ou de contacts.
Pourquoi agir immédiatement
La méthode d’attaque a été rendue publique le 21 octobre, accompagnée d’une vidéo de démonstration diffusée par erreur. Cloudflare a déjà détecté des tentatives d’intrusion contre les sites de ses clients. Les robots automatisés scannent des milliers de sites en chaîne ; toute installation non mise à jour finit par être repérée. Les sites créés puis abandonnés, surtout ceux fonctionnant sous PHP 8.1 ou une version antérieure, sont les plus exposés, car aucune mise à jour officielle simple n’existe pour ces versions.
Vérifier votre version de PHP
1. Quelle version de PHP alimente votre site ? Cette information se trouve dans l’espace client de votre hébergeur ou, sous WordPress, dans Outils > Santé du site.
2. Qui assure la gestion du serveur ? Hébergeur, prestataire ou aucune tierce partie ?
3. Le correctif a-t-il été appliqué ? Les versions sûres sont PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou toute version ultérieure. Si vous ne pouvez répondre à l’une de ces questions, considérez votre site comme exposé.
Étapes de mise à jour et mesures temporaires
– Hébergement mutualisé ou infogéré : demandez par écrit à votre hébergeur la mise en place du correctif et la date prévue.
– Serveur dédié ou VPS non maintenu : faites intervenir immédiatement un développeur pour mettre à jour PHP.
– Versions 8.1 ou antérieures : migrez vers une version maintenue.
– Protection temporaire : désactivez « Session Upload Progress », mais considérez cela comme un pansement.
– Les autorités britanniques (NCSC) recommandent de mettre hors ligne les sites qui ne peuvent être corrigés rapidement. En France, le CERT‑FR (ANSSI) préconise également d’isoler les systèmes concernés.
– Après la mise à jour, changez tous les mots de passe et clés d’accès sensibles, puis vérifiez l’absence de comptes administrateur ou de fichiers suspects.
Recours à un professionnel
Si vous doutez de la mise à jour de votre site ou si aucune maintenance n’est assurée, publiez dès maintenant un projet « Mise à jour PHP urgente » sur Codeur.com pour obtenir des devis de développeurs freelances. Les interventions d’un professionnel sont généralement rapides et coûtent bien moins cher qu’une attaque réussie.
Appel aux développeurs freelances
C’est le moment idéal pour vérifier les sites de vos clients, proposer un contrat de maintenance et éviter de futures alertes de sécurité.
Sources : PHP Foundation, « Today’s PHP security release », php.net (annonce du 21 octobre 2026) ; CERT‑FR (ANSSI), alerte CERTFR‑2026‑ALE‑014 ; NCSC, « Critical security issue affecting PHP » ; CNIL, obligations de notification ; IT‑Connect, « PHP2Shell : correctifs d’urgence ».
Source : Codeur
Service
Maintenance et gestion de systèmes informatiques(Web, Mobile & Logiciel)
Service professionnel de gestion, de maintenance et d'optimisation pour vos applications web, mobiles et logiciels existants.
À partir de 55 000 F CFADécouvrir le service
