Tester son site contre la faille PHP2Shell, sans risque

WindowsMacMis à jour

L'avis du projet PHP du 21 octobre 2026 donne les versions qui corrigent PHP2Shell : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Cette liste est le test. Si la version de PHP de votre site est égale ou supérieure à la correction de sa branche, la mise à jour demandée par l'avis est en place. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Comparez la version de PHP de votre site aux versions corrigées, lisez les avis de votre hébergeur et des éditeurs des logiciels que vous utilisez, et cherchez les produits qui intègrent PHP dans la liste du NCSC-NL sur GitHub. Un scanner ne remplace pas cela. La correction, c'est la mise à jour, et ne testez que des sites qui sont à vous ou que vous êtes autorisé à tester.

Que disent les sources officielles de vérifier ?

Aucun des avis officiels sur PHP2Shell ne demande aux particuliers de lancer un scanner. L'avis PHP indique que les failles touchent toutes les installations de PHP qui répondent à des requêtes web, et ses notes de version disent que la mise à jour est le seul choix sûr. L'alerte du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, liste les versions touchées et recommande, pour les versions non maintenues, d'isoler les équipements puis de migrer. Le Centre canadien pour la cybersécurité demande de repérer les produits, appareils et conteneurs qui intègrent des composants PHP vulnérables.

Pour un blog, une petite boutique ou le site d'une association, cela revient à deux vérifications : la version qu'utilise votre site, et les avis des entreprises dont vous utilisez les logiciels ou l'hébergement.

Comment vérifier ma version de PHP ?

Il vous faut le numéro exact de votre site, par exemple 8.3.36, pas seulement « PHP 8 ». Notre guide pour vérifier la version de PHP de votre site montre où la trouver dans WordPress et dans un panneau d'hébergement, et quoi demander à votre hébergeur si vous ne la voyez pas.

Le NCSC britannique ajoute une mise en garde utile : ne pas limiter la recherche aux versions obsolètes de PHP. Une version qui semble récente doit donc quand même être comparée à la liste des versions corrigées.

Et les avis de mon hébergeur et des autres éditeurs ?

Votre hébergeur gère le serveur, son avis est donc souvent la réponse la plus claire. Cherchez un e-mail, une page d'état ou un article d'aide sur l'avis PHP du 21 octobre, et vérifiez qu'il cite la version corrigée de la branche qu'utilise votre site. S'il n'y a rien, demandez.

PHP peut aussi se trouver à l'intérieur d'autres produits. L'agence américaine CISA écrit que PHP est souvent un composant d'autres logiciels et que sa présence n'est pas toujours directement visible. Le NCSC demande de suivre les mises à jour de sécurité des éditeurs tiers, dont les appareils et services peuvent intégrer PHP. Si vous avez un NAS ou une box avec une page d'administration web, l'avis de sécurité du fabricant est l'endroit où regarder. Notre guide faille PHP sur NAS Synology et QNAP résume ce que ces deux fabricants ont publié, et notre guide sur les box et pare-feu couvre le reste du réseau domestique.

Qu'est-ce que la liste du NCSC-NL sur GitHub ?

Le centre national de cybersécurité des Pays-Bas (NCSC-NL) tient un dépôt public, github.com/NCSC-NL/php2shell. La page du NCSC britannique sur PHP2Shell indique que le NCSC-NL y publie un inventaire des produits logiciels dont la dépendance à PHP est potentiellement touchée.

Le dépôt se présente comme de l'information opérationnelle sur CVE-2026-109618 et CVE-2026-109619. Il a trois parties : des listes de produits logiciels dépendant de PHP et potentiellement touchés, du matériel de détection et d'atténuation, et des outils pour générer les fichiers du dépôt. Son tableau des dernières mises à jour donne la date, le fournisseur, le produit, la version, un statut pour les deux failles et des liens. Parmi les statuts figurent Fix (corrigé), Vulnerable (vulnérable) et Investigation (en cours d'analyse). Le dépôt indique qu'il est mis à jour au fil de la situation.

Pour l'utiliser, cherchez vos produits par fournisseur et par nom, puis suivez le lien vers l'avis du fournisseur pour le détail. Le dépôt ne se présente pas comme complet : un produit absent n'est donc pas forcément épargné.

Un scanner de vulnérabilités en ligne peut-il me dire si je suis protégé ?

Il peut vous dire certaines choses, avec des limites. Les conseils du NCSC britannique sur les outils de scan expliquent qu'ils relèvent des informations sur un système, par « fingerprinting » ou « banner grabbing », pour les comparer à des produits connus comme vulnérables. Ils précisent que le scan automatique ne vaut pas un travail manuel comme un test d'intrusion, qu'un scanner réseau privilégie l'étendue à la profondeur, et qu'il peut produire des faux positifs, une faille signalée qui n'existe pas, et des faux négatifs, une faille réelle manquée.

Pour PHP2Shell, aucun scanner ne figure dans les conseils du projet PHP, dont la correction est la mise à jour. Quel que soit le résultat d'un scan, ce que vous devez savoir reste la version exacte de PHP sur votre serveur et si elle est corrigée. Si un scanner et votre hébergeur ne disent pas la même chose, demandez à l'hébergeur de vous confirmer la version par écrit.

Est-il légal de tester un site contre PHP2Shell ?

Ne testez que des sites qui vous appartiennent ou pour lesquels vous avez une autorisation claire, et ne lancez jamais de code d'exploitation contre le site de quelqu'un d'autre. En France, Cybermalveillance.gouv.fr rappelle que les articles 323-1 à 323-7 du Code pénal visent notamment « le fait d'accéder ou de se maintenir frauduleusement » dans un système de traitement automatisé de données. Ce guide ne dit pas quel test relève ou non de cet article : en cas de doute sur ce que vous avez le droit de faire, demandez avant.

Si votre site est hébergé sur le serveur d'un prestataire, demandez-lui avant de lancer quoi que ce soit au-delà d'une vérification de version.

Autres questions

Existe-t-il un scanner officiel PHP2Shell ?

Aucune des pages officielles citées plus bas ne propose de scanner pour les particuliers. Le dépôt du NCSC-NL contient du matériel de détection et d'atténuation, mais il ne décrit pas de scanner. La réponse de l'avis PHP est de passer en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.

La faille PHP2Shell a-t-elle été exploitée ?

Au 23 octobre 2026 : la CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication. Le CERT-FR a ajouté le 22 octobre qu'il a connaissance de preuves de concept pour des déploiements spécifiques de PHP, et le Centre canadien indique le 23 octobre que des preuves de concept sont publiquement accessibles mais qu'aucune exploitation active n'a été observée pour le moment. L'avis de QNAP indique que des tentatives d'exploitation contre PHP ont été signalées publiquement.

Mon scan dit que mon site est vulnérable. Que faire ?

Comparez votre version de PHP à la liste des versions corrigées et demandez à votre hébergeur de la confirmer. Si elle n'est pas corrigée, mettez-la à jour ou faites-la mettre à jour. Si quelque chose semble anormal sur le site lui-même, notre guide site piraté : que faire couvre les premières étapes.

Mon hébergeur dit avoir corrigé, mais un scanner dit le contraire. Qui a raison ?

Les scanners peuvent produire des faux positifs, selon les conseils du NCSC sur le scan, et la correction dépend de la version de PHP sur votre serveur. Demandez à votre hébergeur la version exacte de votre site et comparez-la vous-même aux versions corrigées. Notre guide mon hébergeur dit avoir corrigé PHP détaille ce qui reste à votre charge.

Un pare-feu corrige-t-il PHP2Shell ?

Non. La CISA indique qu'un pare-feu applicatif web peut apporter une certaine protection en attendant la mise à jour. Le CERT-FR présente le blocage de certaines requêtes par un tel pare-feu comme un contournement provisoire, non qualifié par lui. L'avis PHP précise que ses mesures temporaires ne rendent pas une installation sûre. La mise à jour reste la correction.

Sources