Faille PHP et Mac : PHP est-il installé sur votre Mac ?

MacMis à jour 2026-10-31

PHP2Shell ne concerne votre Mac que si PHP y est installé, et le manuel de PHP indique que PHP n'est plus inclus avec macOS depuis macOS 12 Monterey. Un Mac récent ne l'a donc que si vous l'avez ajouté, ou si un outil que vous avez installé l'a fait. Terminal vous le dit en une commande. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

L'avis du projet PHP du 21 octobre 2026 porte sur deux failles critiques, CVE-2026-109618 et CVE-2026-109619, dans les installations de PHP qui répondent à des requêtes web. Le manuel de PHP indique que macOS n'inclut plus PHP depuis macOS 12 Monterey. Ouvrez Terminal et tapez php -v. Si une version s'affiche, mettez-la à jour vers une version corrigée, par le moyen qui a servi à l'installer.

macOS est-il livré avec PHP ?

Pas les versions récentes, selon le manuel de PHP. Il indique que PHP était inclus avec macOS dans les versions 10 et 11, mais qu'il n'est plus inclus depuis macOS 12 Monterey, et que sur les versions récentes il faut passer par des paquets tiers ou compiler PHP à partir des sources.

Les notes de version d'Apple que nous avons consultées ne parlent pas de PHP. Celles de macOS Catalina 10.15 citent seulement Python, Ruby et Perl comme langages de script que les versions futures n'incluraient plus par défaut. La vérification sur votre propre Mac tranche la question.

Comment savoir si PHP est installé sur mon Mac ?

Passez par Terminal. Le manuel de PHP indique que lancer php -v dans un terminal précise si PHP est en version CLI ou CGI, et la commande affiche son numéro de version. Si un numéro s'affiche, PHP est installé.

Dans le Finder, ouvrez le dossier Applications, puis le dossier Utilitaires, et double-cliquez sur Terminal. Apple décrit ce chemin dans son guide de Terminal.
Tapez php -v et appuyez sur Retour.
Lisez la première ligne. Elle commence par « PHP » suivi d'un numéro de version.
Comparez-la avec la liste des versions corrigées de notre guide pour vérifier la version de PHP. Toute version plus ancienne de la même branche doit être mise à jour. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP.

Qui peut avoir PHP sur son Mac ?

Surtout les personnes qui créent ou testent des sites web. Le manuel de PHP décrit deux façons de l'installer sur macOS : des paquets tiers, ou la compilation à partir des sources. Il présente Homebrew comme une manière simple (brew install php) et cite MacPorts et Fink comme alternatives.

Vous avez peut-être PHP si :

vous créez ou testez des sites en PHP sur votre Mac et l'avez installé pour cela
vous avez installé un outil de serveur local qui embarque son propre PHP. Le NCSC britannique demande de suivre les mises à jour des fournisseurs dont les produits intègrent PHP
vous avez utilisé le serveur web intégré de PHP (php -S). Le manuel de PHP indique qu'il est prévu pour aider au développement d'applications, qu'il n'est pas destiné à la production et qu'il ne devrait pas être utilisé sur un réseau public

Le PHP de mon Mac est-il vraiment exposé ?

Cela dépend de son usage. L'avis PHP vise toutes les installations qui répondent à des requêtes web, dont PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Il juge le risque le plus élevé avec mod_php, pour lequel il existe une attaque démontrée, qu'une requête sans authentification peut déclencher avant même l'exécution du code de l'application.

L'avis ne dit rien de PHP utilisé uniquement en ligne de commande, nous ne pouvons donc pas vous dire que cet usage est sans risque. Le NCSC britannique indique que les organisations qui utilisent n'importe quelle version de PHP sont concernées et doivent passer à la dernière version. Sur un Mac aussi, la réponse simple est la mise à jour.

Sur l'exploitation, au 23 octobre 2026 : l'agence américaine CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, et le CERT-FR a ajouté le 22 octobre qu'il a connaissance de preuves de concept pour des déploiements spécifiques de PHP.

Comment mettre à jour PHP sur un Mac ?

Mettez-le à jour de la même façon que vous l'avez installé. L'avis PHP demande de passer à une version corrigée, dont les sources sont sur la page de téléchargement de php.net. Si vous l'avez installé avec un gestionnaire de paquets, mettez-le à jour avec ce gestionnaire. S'il est fourni avec une application de serveur local, mettez à jour l'application, ou cherchez sur le site de son éditeur une version qui contient le PHP corrigé.

Changer des réglages ne suffit pas : l'avis indique que ses mesures temporaires ne rendent pas une installation sûre.

En PHP 8.1 ou plus ancien, l'avis suggère de passer à une version maintenue. L'équipe de sécurité de PHP a publié des correctifs minimaux pour 7.4, 8.0 et 8.1, destinés à ceux qui compilent PHP à partir des sources.

Après la mise à jour, relancez php -v et vérifiez que le numéro de version a changé.

Naviguer sur le web avec un Mac fait-il tourner PHP ?

Non. Le manuel de PHP explique que le code PHP est exécuté sur le serveur, qui génère le HTML envoyé ensuite à votre navigateur, lequel ne reçoit que le résultat. Lire un site construit avec PHP ne fait donc pas tourner PHP sur votre Mac.

Un site piraté peut tout de même présenter d'autres risques pour ses visiteurs : voyez visiter un site piraté, est-ce dangereux ?

Le rôle de Failshot

Failshot est une deuxième couche de sécurité pour votre Mac. Votre mot de passe est la première couche, et Failshot est celle qui vient après, pour le cas où quelqu'un déverrouille votre Mac avec ce mot de passe pendant que vous n'êtes pas là.

Quand Failshot est activé, il prend en photo la personne qui déverrouille votre Mac, puis, avec Pro, enregistre une vidéo de 5 secondes, et sa fenêtre lui indique que le déverrouillage a été photographié. Avec Pro, activez les alertes, et Failshot vous envoie un e-mail pour un déverrouillage que vous ne confirmez pas comme le vôtre, pour un code PIN Failshot ou une réponse erronés, ou si son accès à la caméra est coupé pendant qu'il est activé. Pour le désactiver, ou le quitter depuis son menu, il faut Touch ID ou votre code PIN Failshot et votre réponse, jamais le mot de passe de votre Mac.

Failshot se télécharge gratuitement sur failshot.app pour Mac, avec macOS 14 ou une version ultérieure. Utilisation gratuite. Pro ajoute la vidéo, les alertes par e-mail et le coffre-fort chiffré. Essayez Failshot Pro pour Mac gratuitement pendant 7 jours sur failshot.app. Votre carte est demandée à l'inscription et débitée le 8e jour, sauf si vous annulez. L'application est en anglais, et les versions pour iPhone, Android et Windows arrivent bientôt.

Autres questions

Une mise à jour de macOS met-elle PHP à jour ?

Le manuel de PHP indique que macOS n'inclut plus PHP depuis macOS 12 Monterey : sur ces versions, tout PHP présent a été installé à part et doit être mis à jour de la même façon. Gardez macOS à jour de toute façon, mais ne comptez pas sur lui pour mettre à jour le PHP d'un gestionnaire de paquets ou d'une application de serveur local.

Mon Mac est sous macOS Big Sur ou plus ancien. A-t-il PHP ?

C'est possible. Le manuel de PHP indique que PHP était inclus avec macOS dans les versions 10 et 11. Lancez php -v dans Terminal et comparez la version affichée avec les versions corrigées.

Y a-t-il eu une autre faille PHP après le 21 octobre ?

Oui, une faille distincte et bien moins probable, CVE-2026-115560, publiée par le projet PHP le 23 octobre. Notre guide sur la faille PHP en parle.