Mon site est-il touché par la faille PHP ? Vérifier sa version de PHP

WindowsMacMis à jour 2026-10-31

L'équipe de sécurité de PHP a publié le 21 octobre 2026 des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619, que l'agence américaine CISA désigne sous le nom de « php2shell ». Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour savoir où en est votre site, il vous faut sa version de PHP. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Trouvez la version de PHP de votre site dans WordPress, sous Outils > Santé du site > Informations > Serveur, dans le panneau de votre hébergement, ou en la demandant à votre hébergeur. Selon l'avis PHP, les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si la vôtre est plus ancienne que la correction de sa branche, demandez une mise à jour.

Quelles versions de PHP sont touchées, et lesquelles sont corrigées ?

L'avis PHP du 21 octobre 2026 indique que les failles concernent toutes les installations de PHP qui répondent à des requêtes web, et qu'elles peuvent permettre à quelqu'un de faire exécuter ses propres commandes au serveur sans se connecter.

L'alerte du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, donne cette liste :

Votre version commence par	Touchée si antérieure à	Version corrigée
8.5	8.5.12	8.5.12
8.4	8.4.27	8.4.27
8.3	8.3.36	8.3.36
8.2	8.2.35	8.2.35
8.1, 8.0, 7.x ou 5.x	toutes	aucune version officielle, branche plus maintenue

Les notes de version disent qu'il n'existe pas de mesure de contournement complète et que la mise à jour est le seul choix sûr.

Sur l'exploitation, au 23 octobre 2026 : la CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, et le CERT-FR a ajouté le 22 octobre qu'il a connaissance de preuves de concept pour des déploiements spécifiques de PHP. L'avis PHP fait état d'une attaque démontrée contre Apache avec mod_php, qu'il considère comme la configuration la plus exposée.

Comment voir la version de PHP dans WordPress ?

WordPress l'affiche dans l'outil Santé du site, selon la page « Update PHP » de WordPress.org.

Connectez-vous à l'administration de votre site WordPress.
Allez dans Outils > Santé du site.
Cliquez sur l'onglet Informations.
Dépliez la section Serveur.
Descendez jusqu'à la ligne Version de PHP.

WordPress précise que cet onglet sert uniquement à informer : vous ne pouvez rien y modifier. Dans l'onglet État, un problème critique peut aussi signaler que votre site fonctionne sur une version obsolète de PHP.

Comment voir la version de PHP dans cPanel ?

Dans cPanel, l'outil MultiPHP Manager, rangé dans la rubrique Software, liste vos domaines et la version de PHP de chacun.

Connectez-vous à cPanel.
Ouvrez MultiPHP Manager.
Repérez votre domaine dans la liste et lisez sa version de PHP.

Si le domaine affiche la mention Inherited, c'est-à-dire héritée, cPanel indique qu'il utilise la version par défaut du serveur, que seul l'administrateur du serveur fixe. La mise à jour dépend alors de votre hébergeur. Si vous ne trouvez pas MultiPHP Manager, votre hébergeur l'a peut-être désactivé, ce que cPanel permet. Les autres panneaux ont leurs propres écrans : cherchez dans l'aide de votre hébergeur.

Et si je ne trouve pas ma version de PHP ?

Demandez à votre hébergeur. La page de WordPress.org sur la mise à jour de PHP fournit d'ailleurs un modèle de message. Pour cette faille, posez deux questions :

Quelle version de PHP mon site utilise-t-il en ce moment ?
A-t-elle été mise à jour vers la version corrigée publiée dans l'avis de sécurité PHP du 21 octobre 2026 (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) ?

Si vous avez plusieurs domaines, posez la question pour chacun : cPanel montre que chaque domaine peut utiliser une version différente.

Ma version n'est pas corrigée. Que faire ?

Mettez PHP à jour, ou faites-le faire par votre hébergeur. L'avis PHP liste quelques réglages temporaires qui réduisent l'exposition, mais il précise qu'ils ne rendent pas une installation sûre. Le CERT-FR présente ses propres mesures comme provisoires et renvoie aux correctifs de l'éditeur. Le NCSC britannique conseille, dans l'ordre : mettre à jour, appliquer les mesures temporaires si c'est impossible, et envisager la mise hors ligne si rien ne peut se faire rapidement.

La façon de mettre à jour dépend de qui gère le serveur :

Sur un hébergement mutualisé ou infogéré, PHP appartient à votre hébergeur. Demandez-lui de passer votre site sur la version corrigée, ou sur une branche maintenue qui en a une.
Si votre panneau vous laisse choisir la version, vous pouvez peut-être la changer vous-même. Notre guide pour mettre à jour PHP sur WordPress explique comment, avec une sauvegarde d'abord.

Si vous ne pouvez pas mettre à jour tout de suite, le NCSC conseille de rechercher des signes de compromission. Notre guide site piraté : que faire aborde ce point du côté du propriétaire du site.

Et si mon site tourne sous PHP 8.1 ou plus ancien ?

Le projet PHP indique que PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour de sa part. Certaines distributions et certains éditeurs proposent des correctifs adaptés, et il conseille de contacter votre fournisseur ou de passer à une version maintenue. Ses correctifs minimaux pour 7.4, 8.0 et 8.1 visent ceux qui compilent PHP eux-mêmes. Le CERT-FR recommande d'isoler les équipements concernés puis de migrer, et la CISA de mettre hors ligne les systèmes sous PHP 8.1 ou plus ancien qui ne peuvent pas être mis à jour tout de suite.

Pour un site personnel, demandez donc à votre hébergeur s'il a appliqué un correctif à votre version.

La page des versions prises en charge de PHP montre aussi que PHP 8.2 ne reçoit des correctifs de sécurité que jusqu'au 31 décembre 2026 : un site en 8.2.35 est corrigé pour l'instant, mais devra bientôt passer à une branche plus récente. La page « Update PHP » de WordPress.org, dans sa version anglaise, recommande PHP 8.3 ou plus récent.

Un outil en ligne peut-il me dire si mon site est vulnérable ?

Aucune des pages officielles citées plus bas ne parle de tels outils. L'avis PHP donne une liste de versions corrigées : la vérification qui compte est la version de votre site, que la Santé du site, votre panneau ou votre hébergeur peuvent vous donner.

Autres questions

Qu'est-ce que PHP2Shell ?

C'est le nom que la CISA donne aux failles CVE-2026-109618 et CVE-2026-109619, qui sont dans PHP lui-même, pas dans WordPress ni dans une extension. Notre guide sur la faille PHP va plus loin.

PHP 8.3.36 est-il protégé contre PHP2Shell ?

PHP 8.3.36 est la version corrigée de la branche 8.3, selon l'avis PHP du 21 octobre 2026. Les autres versions corrigées sont 8.5.12, 8.4.27 et 8.2.35. Le projet PHP a aussi publié le 23 octobre un avis d'information sur un problème distinct et peu probable, qui ne touche que des configurations de session inhabituelles.

Mon site WordPress est à jour. Est-il quand même concerné ?

Oui, il peut l'être. Les failles sont dans PHP, le langage sur lequel tourne WordPress, et l'avis indique que toutes les installations de PHP qui répondent à des requêtes web sont concernées. Garder WordPress, les thèmes et les extensions à jour reste une bonne habitude, mais la correction de cette faille passe par une version de PHP plus récente.

Mon hébergeur dit avoir corrigé. Dois-je faire quelque chose ?

Comparez la version affichée dans la Santé du site ou dans votre panneau avec la liste des versions corrigées, pour être sûr que la correction s'applique à votre site. Si vous avez plusieurs domaines, vérifiez chacun. Si vous pensez que le site a pu être modifié avant la mise à jour, recherchez des signes de compromission, comme le conseille le NCSC.