Faille PHP PHP2Shell : ce qu'elle change pour vous

MacWindowsiPhoneAndroidMis à jour 2026-10-31

PHP2Shell est le nom donné à deux failles de sécurité critiques dans PHP, CVE-2026-109618 et CVE-2026-109619, que le projet PHP a corrigées le 21 octobre 2026. PHP est le langage sur lequel tournent de nombreux sites web. En France, le CERT-FR (ANSSI) a publié une alerte, et Cybermalveillance.gouv.fr indique qu'un attaquant pourrait prendre le contrôle à distance des équipements vulnérables. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

PHP2Shell désigne deux failles critiques de PHP, le langage de nombreux sites web. Elles sont corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre 2026. Si vous avez un site, vérifiez et mettez à jour sa version de PHP. Si vous avez un NAS ou un routeur, suivez les consignes du fabricant. Si vous ne faites que visiter des sites, la correction revient à leurs propriétaires.

Qu'est-ce que la faille PHP2Shell ?

Ce sont deux défauts distincts de PHP lui-même, annoncés ensemble. L'avis du projet PHP les décrit comme des failles d'exécution de code à distance sans authentification : quelqu'un pourrait faire exécuter ses propres instructions à un serveur sans s'y connecter. L'agence américaine CISA les appelle « php2shell ». Les deux sont notées 9,2 sur la version 4 de l'échelle CVSS et qualifiées de critiques.

Le manuel de PHP présente le langage comme « spécialement conçu pour le développement d'applications web ». Il tourne sur le serveur qui vous envoie une page, pas sur votre téléphone ni sur votre ordinateur. L'avis PHP indique que toutes les installations de PHP qui répondent à des requêtes web sont concernées, et que le risque est le plus élevé avec Apache et mod_php, pour lequel il existe une attaque démontrée.

Quelles versions de PHP corrigent la faille ?

Le projet PHP a publié quatre versions corrigées le 21 octobre 2026 :

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Ses notes de version disent qu'il n'existe pas de mesure de contournement complète et que la mise à jour est le seul choix sûr.

PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP. L'alerte du CERT-FR liste comme concernées toutes les versions 5.x, 7.x, 8.0.x et 8.1.x, et recommande d'isoler les équipements concernés puis de migrer vers une version maintenue. L'avis PHP ajoute que certaines distributions et certains éditeurs proposent des correctifs adaptés, et que l'équipe de sécurité de PHP a publié des correctifs minimaux pour 7.4, 8.0 et 8.1, pour ceux qui compilent PHP eux-mêmes.

Qui est concerné parmi les particuliers ?

Il vous concerne dans trois cas.

Vous avez ou gérez un site web. Un blog, une petite boutique ou le site d'une association sous WordPress tourne très probablement sur PHP. Cybermalveillance.gouv.fr juge les failles particulièrement critiques pour les sites transactionnels, ceux qui traitent des données sensibles et ceux reliés à des systèmes internes. Commencez par vérifier la version de PHP de votre site, puis lisez comment mettre à jour PHP sur WordPress. Si quelque chose semble déjà anormal, lisez site piraté : que faire.

Vous avez un NAS, un routeur ou un autre appareil avec une page d'administration web. La CISA rappelle que PHP est souvent intégré à d'autres logiciels et que sa présence ne se voit pas toujours. Le Centre canadien pour la cybersécurité demande de repérer les produits, appareils et conteneurs qui intègrent PHP. Voyez notre guide sur la faille PHP et les NAS Synology et QNAP et, pour votre ordinateur, PHP sur Mac.

Vous visitez des sites ou achetez en ligne. Les failles sont sur les serveurs, leur correction revient donc aux propriétaires des sites. Voyez visiter un site piraté, est-ce dangereux ? et vos données personnelles sont-elles en danger ?

Que disent les autorités sur l'exploitation ?

Voici ce que disent les sources officielles au 23 octobre 2026.

La CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication.
Le CERT-EU, le service de cybersécurité des institutions européennes, indique que de premières preuves de concept circulent, ce qui, selon lui, rend plus probable une exploitation déjà en cours.
Le CERT-FR a ajouté le 22 octobre qu'il a connaissance de preuves de concept pour des déploiements spécifiques de PHP. Son alerte ne dit pas que les failles sont exploitées.
Le Centre canadien pour la cybersécurité écrit le 23 octobre que des preuves de concept sont publiquement accessibles, mais qu'aucune exploitation active n'a été observée pour le moment, et que la situation pourrait évoluer rapidement.
L'avis de QNAP du 22 octobre signale que des tentatives d'exploitation visant PHP ont été rapportées publiquement.

Une preuve de concept montre qu'une attaque fonctionne. Une tentative, c'est l'envoi de l'attaque à un serveur. Rien de cela ne dit qu'un site précis a été piraté ni que vos données ont été prises. Tous ces organismes demandent en revanche de mettre à jour sans attendre.

Que faire maintenant ?

Si vous avez un site :

Trouvez sa version de PHP, avec notre guide pour vérifier la version de PHP de votre site.
Passez à une version corrigée, ou demandez à votre hébergeur s'il l'a fait. Cybermalveillance.gouv.fr demande d'appliquer les correctifs au plus vite, et le NCSC britannique de traiter d'abord les systèmes exposés à Internet.
Si vous ne pouvez pas mettre à jour tout de suite, le NCSC propose les mesures temporaires du projet PHP, puis la mise hors ligne si elles ne peuvent pas être appliquées rapidement. La CISA demande aussi de mettre hors ligne les systèmes qui ne peuvent pas être corrigés immédiatement ou qui tournent sous PHP 8.1 ou plus ancien.
Si vous ne pouvez ni mettre à jour ni couper le site, le NCSC demande de rechercher des signes de compromission et des portes dérobées.

Si vous avez un NAS, un routeur ou un appareil semblable, consultez l'avis de sécurité du fabricant pour votre modèle et installez la mise à jour proposée.

Si vous êtes visiteur ou client, vous n'avez rien à installer à cause de PHP2Shell. Les conseils habituels de Cybermalveillance.gouv.fr restent valables : un mot de passe différent pour chaque service, à commencer par votre messagerie, et la double authentification partout où elle existe. Si un message vous presse d'agir, vérifiez votre interlocuteur en le contactant vous-même par ses coordonnées officielles.

Existe-t-il une troisième faille PHP ?

Il y en a une autre, liée mais bien moins grave. Le 23 octobre, le projet PHP a publié un avis d'information sur CVE-2026-115560 : le problème ne peut survenir qu'avec une combinaison inhabituelle de réglages et de code, peu probable en pratique. En attendant la prochaine version corrective habituelle, il conseille de désactiver le suivi de progression des envois de session (session.upload_progress.enabled=0). Le Centre canadien pour la cybersécurité précise que les organisations qui ont déjà appliqué et maintenu ce réglage pour CVE-2026-109619 n'ont rien d'autre à faire.

Autres questions

PHP2Shell est-il un virus ?

Non. C'est le nom de deux failles dans PHP, le logiciel utilisé par de nombreux serveurs web. La correction est une mise à jour de PHP, que le propriétaire du serveur ou l'hébergeur installe. Il n'y a rien à rechercher sur votre appareil.

Dois-je mettre à jour PHP sur mon ordinateur ?

Probablement pas. PHP tourne sur des serveurs web, et l'avis PHP vise les installations qui répondent à des requêtes web. Si vous avez installé PHP vous-même pour créer des sites, mettez-le à jour. Notre guide sur PHP sur Mac détaille ce cas.

Que signifie une note CVSS de 9,2 ?

CVSS est un système de notation de la gravité des failles. Le projet PHP note les deux failles 9,2 selon la version 4 de CVSS et les classe comme critiques. Le CERT-EU, le CERT-FR, la CISA et le Centre canadien pour la cybersécurité les traitent aussi comme critiques.

Quelqu'un a-t-il été piraté avec PHP2Shell ?

Au 23 octobre 2026, aucun des avis officiels cités ci-dessous ne donne de nombre de sites compromis. La CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, et le Centre canadien pour la cybersécurité n'avait pas observé d'exploitation active le 23 octobre.