Le 21 octobre 2026, PHP a publié des correctifs d’urgence pour deux failles critiques, baptisées PHP2Shell. PHP fait tourner la grande majorité des sites, dont WordPress et WooCommerce. Voici l’essentiel, en clair.
Que s’est-il passé ?
Deux failles (CVE-2026-109618 et CVE-2026-109619) permettent à un pirate, sans mot de passe, de faire exécuter son propre code sur le serveur qui héberge un site. Elles sont notées 9,2 sur 10 : le niveau « critique ».
Particularité : leurs détails ont fuité en ligne le 20 octobre, avant la sortie des correctifs. Des tentatives d’attaque ont suivi très vite, d’où l’urgence.
Qui est concerné ?
Tous les sites qui tournent sur une version de PHP non mise à jour. Et c’est le point important : la faille est dans PHP lui-même, pas dans WordPress. Un site WordPress parfaitement à jour, avec des extensions à jour, restait exposé tant que PHP n’était pas corrigé sur le serveur.
- Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- PHP 8.1 et plus ancien : plus de correctif officiel. La seule solution est de passer à une version récente.
- Aucune parade complète selon l’équipe PHP : la mise à jour est le seul choix sûr.
Méfiez-vous aussi des « outils de test » et scripts trouvés sur des sources inconnues : de faux codes d’exploitation ont circulé autour de cette annonce.
Ce que Media84 a fait
Dès la sortie des correctifs, nous avons mis à jour PHP sur nos serveurs et redémarré les services concernés. Les sites hébergés et maintenus par Media84 tournent sur des versions corrigées. Vous n’avez rien à faire.
C’est tout l’intérêt d’un hébergement et d’une maintenance suivis : quelqu’un surveille les alertes de sécurité et intervient rapidement, pendant que vous vous occupez de votre activité.
Votre site est hébergé ailleurs ?
Posez deux questions à votre hébergeur ou à votre prestataire :
- Quelle version de PHP fait tourner mon site ?
- Le correctif PHP2Shell a-t-il été appliqué, et les services redémarrés ?
Si votre site tourne encore en PHP 8.1 ou plus ancien, prévoyez une migration rapidement.
Un doute sur votre site ?
Nous vérifions la version de PHP de votre site et nous vous disons simplement quoi faire.
Questions fréquentes
Mon site WordPress est à jour : suis-je protégé ?
Pas forcément. La faille se trouve dans PHP, sur le serveur, pas dans WordPress. Seul votre hébergeur peut la corriger en mettant PHP à jour.
Comment connaître la version de PHP de mon site ?
Dans WordPress : Outils, puis Santé du site, onglet Infos, rubrique Serveur. Vous pouvez aussi simplement le demander à votre hébergeur.
Mon site tourne en PHP 7 ou 8.0 : que faire ?
Ces versions ne reçoivent plus de correctifs. Il faut passer à PHP 8.2 ou plus récent, après avoir vérifié que le thème et les extensions sont compatibles.
Sources : annonce officielle PHP 8.4.27 · The Hacker News · Brandefense.
