Votre site tourne sous PHP 8.1 ou plus ancien ? Vos options après PHP2Shell

WindowsMacMis à jour 2026-10-31

PHP 8.1 est arrivé en fin de vie le 31 décembre 2025, selon la liste des branches non maintenues du projet PHP, et sa dernière version est la 8.1.34. Quand le projet a corrigé deux failles critiques le 21 octobre 2026, il n'a publié aucune nouvelle version pour 8.1 ni pour les branches plus anciennes. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Au 23 octobre 2026, seules les branches PHP 8.2, 8.3, 8.4 et 8.5 reçoivent des correctifs de sécurité, et 8.2 s'arrête le 31 décembre 2026. Si votre site tourne sous 8.1 ou plus ancien, demandez à votre hébergeur si un correctif rétroporté a été appliqué, mettez à jour votre CMS et vos extensions, puis passez à une version maintenue, comme le recommande le CERT-FR.

Quelles versions de PHP reçoivent encore des correctifs de sécurité ?

La page des versions prises en charge du projet PHP liste quatre branches. Chacune est entièrement prise en charge pendant deux ans après sa première version stable, puis reçoit pendant deux ans de plus des correctifs pour les seuls problèmes de sécurité critiques. Ensuite, la branche arrive en fin de vie et n'est plus prise en charge.

Branche	Prise en charge complète jusqu'au	Correctifs de sécurité jusqu'au
8.2	31 déc. 2024	31 déc. 2026
8.3	31 déc. 2025	31 déc. 2027
8.4	31 déc. 2026	31 déc. 2028
8.5	31 déc. 2027	31 déc. 2029

Quand PHP 8.1, 8.0 et 7.4 sont-ils arrivés en fin de vie ?

La page des branches non maintenues du projet PHP donne ces dates et ces dernières versions :

PHP 8.1 : 31 décembre 2025, dernière version 8.1.34
PHP 8.0 : 26 novembre 2023, dernière version 8.0.30
PHP 7.4 : 28 novembre 2022, dernière version 7.4.33

La page des versions prises en charge dit clairement ce que cela implique : les utilisateurs d'une version en fin de vie devraient mettre à jour dès que possible, car ils peuvent être exposés à des failles de sécurité non corrigées.

Que dit l'avis du 21 octobre sur les anciennes versions ?

Il indique que PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP. Il ajoute que certaines distributions et certains éditeurs de support à long terme (LTS) proposent des correctifs rétroportés, et qu'il faut contacter votre fournisseur ou passer à une version maintenue. Un correctif rétroporté, c'est la réparation de sécurité recopiée sur une version plus ancienne.

L'avis précise aussi que, vu la gravité des failles, l'équipe de sécurité de PHP a publié des correctifs minimaux pour les sources de PHP 7.4, 8.0 et 8.1, destinés à ceux qui compilent PHP eux-mêmes ou qui n'ont pas accès à un éditeur LTS. Il n'annonce aucune nouvelle version 7.4, 8.0 ou 8.1.

L'alerte du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, classe toutes les versions 5.x, 7.x, 8.0.x et 8.1.x parmi les versions touchées, et pour les versions qui ne sont plus maintenues, elle recommande d'isoler les équipements concernés puis de migrer vers une version maintenue. L'AlerteCyber de Cybermalveillance.gouv.fr donne la même consigne. L'agence américaine CISA va plus loin : les organisations qui ne peuvent pas mettre à jour tout de suite, ou qui utilisent encore PHP 8.1 ou plus ancien, devraient mettre leurs systèmes PHP hors ligne jusqu'à leur mise à jour.

Pour trouver votre version et la comparer aux versions corrigées des branches maintenues, suivez notre guide pour vérifier la version de PHP de votre site.

PHP 8.2 est-il sûr, et jusqu'à quand ?

PHP 8.2.35 est la version corrigée de la branche 8.2. Sa note de publication sur php.net ajoute un avertissement : PHP 8.2 arrive en fin de vie le 31 décembre 2026 et ne recevra plus de correctifs de sécurité après cette date, et il faut prévoir de passer à une version maintenue.

Un site en 8.2.35 a donc le correctif des deux failles du 21 octobre, mais il lui reste environ dix semaines de correctifs de sécurité du projet. Si vous quittez 8.1 maintenant, passer directement en 8.3 ou plus récent vous évite de le faire deux fois. La page anglaise de WordPress.org sur la mise à jour de PHP recommande PHP 8.3 ou plus récent.

Quelles sont mes options si mon site est sur une ancienne version ?

Posez deux questions à votre hébergeur. Quelle version de PHP mon site utilise-t-il ? Et s'il est en 8.1 ou plus ancien, un correctif rétroporté contre CVE-2026-109618 et CVE-2026-109619 a-t-il été appliqué ? L'avis PHP renvoie les utilisateurs d'anciennes versions vers leur fournisseur ; pour un site hébergé, c'est votre hébergeur.
Préparez le site au changement. Avant de changer de version de PHP, WordPress conseille de faire une sauvegarde, puis de mettre à jour WordPress, les thèmes et les extensions depuis Tableau de bord > Mises à jour, et de vérifier que le site fonctionne. La page anglaise indique que WordPress lui-même fonctionne avec PHP jusqu'à 7.4, mais que l'équipe ne sait pas si vos thèmes ou extensions fonctionneront sur des versions plus récentes. Notre guide pour mettre à jour PHP sur WordPress suit ces étapes dans l'ordre. Avec un autre CMS, sa documentation indique les versions de PHP prises en charge.
Passez à une version maintenue. Une fois le site à jour, demandez à l'hébergeur de changer la version, ou changez-la vous-même si votre panneau le permet. Le NCSC britannique encourage vivement les organisations qui utilisent d'anciennes versions de PHP à passer à une version entièrement prise en charge.

Si rien de tout cela n'est possible rapidement, le CERT-FR recommande d'isoler l'équipement, et la CISA de mettre le site hors ligne jusqu'à sa mise à jour.

Pourquoi un logiciel qui n'est plus maintenu pose-t-il problème ?

Parce que les failles découvertes après la fin de vie restent ouvertes. Cybermalveillance.gouv.fr explique, dans ses conseils sur les mises à jour, qu'elles servent à corriger des failles de sécurité, et conseille de les faire dès qu'elles sont disponibles, automatiquement si possible. Une branche en fin de vie ne reçoit plus ces corrections du projet PHP.

Le NCSC britannique, dans ses conseils sur les produits obsolètes, dit que le seul moyen pleinement efficace de réduire ce risque est de cesser d'utiliser le produit obsolète, et qu'il recommande de mettre à niveau plutôt que de continuer à prendre le risque. Si vous continuez un temps, il conseille de réexaminer régulièrement cette décision. Pour un site en PHP 8.1 ou plus ancien, cela mène à la même réponse que le projet PHP et le CERT-FR : une version maintenue.

Autres questions

PHP 7.4 est-il touché par PHP2Shell ?

Oui. L'alerte du CERT-FR liste toutes les versions 7.x parmi les versions touchées, et l'équipe de sécurité de PHP a publié un correctif minimal pour les sources de 7.4 en raison de la gravité des failles. Il n'y a pas de nouvelle version officielle 7.4. Demandez à votre hébergeur s'il a appliqué un correctif rétroporté, et prévoyez de passer à une version maintenue.

Mon hébergeur dit avoir rétroporté le correctif sur PHP 8.1. Est-ce suffisant ?

L'avis PHP indique que certaines distributions et certains éditeurs LTS proposent des correctifs rétroportés et qu'il faut se renseigner auprès d'eux : c'est donc à votre hébergeur de le confirmer. La branche reste en fin de vie, et le CERT-FR recommande de migrer vers une version maintenue.

Passer à une version plus récente va-t-il casser mon site ?

C'est possible, d'où l'importance de l'ordre. La page anglaise de WordPress.org indique que la mise à jour de PHP ne devrait pas poser de problème, sans pouvoir le garantir, et demande de sauvegarder puis de mettre à jour thèmes et extensions d'abord. Elle précise que pour restaurer une sauvegarde, votre hébergeur devrait aussi remettre la version de PHP utilisée jusque-là.

Que se passe-t-il pour PHP 8.2 après le 31 décembre 2026 ?

Le projet PHP indique que 8.2 ne recevra plus de correctifs de sécurité après cette date, et demande de prévoir le passage à une version maintenue. Un site en 8.2 rejoindra alors 8.1 et les versions antérieures parmi les versions non maintenues.