La faille PHP touche-t-elle mon téléphone ? PHP2Shell, iPhone et Android

iPhoneAndroidMis à jour 2026-10-31

L'avis du projet PHP du 21 octobre 2026 indique que les installations à risque sont toutes les installations de PHP qui répondent à des requêtes web, c'est-à-dire des logiciels de serveur. Il ne parle ni de téléphones, ni de tablettes, ni de navigateurs. Consulter un site sur votre iPhone ou votre téléphone Android ne fait pas tourner le PHP de ce site sur le téléphone, même si un site piraté peut poser d'autres problèmes. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

PHP2Shell désigne deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619. L'avis PHP indique qu'elles mettent en danger les installations de PHP qui répondent à des requêtes web, et le manuel de PHP précise que le code PHP s'exécute sur le serveur. Votre téléphone reçoit la page finie. Gardez tout de même iOS ou Android à jour, et restez prudent avec les téléchargements et les connexions sur des sites inconnus.

Que dit l'avis PHP sur ce qui est touché ?

Les serveurs qui font tourner PHP pour répondre aux requêtes web. L'avis indique que les versions corrigées de PHP règlent deux failles critiques qui peuvent permettre une exécution de code à distance sans authentification. À la rubrique des installations à risque, il cite toutes les installations qui répondent à des requêtes web, dont PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed, et il juge le risque le plus élevé avec mod_php.

Ce sont des façons de faire tourner PHP derrière un site web. Le CERT-FR recommande d'isoler les équipements affectés puis de migrer vers une version maintenue : une consigne pour ceux qui gèrent des serveurs. Notre guide sur la faille PHP présente les failles, ainsi que le problème distinct et bien moins probable publié par le projet PHP le 23 octobre.

Pourquoi naviguer sur un téléphone ne fait-il pas tourner le PHP ?

À cause de l'endroit où PHP travaille. Le manuel de PHP explique que, contrairement à des langages comme JavaScript, le code est exécuté sur le serveur, qui génère le HTML envoyé ensuite au client, et que le client ne reçoit que le résultat.

Le navigateur de votre téléphone est ce client. Il reçoit le HTML, pas le PHP qui l'a produit, et corriger PHP2Shell revient au propriétaire du site.

L'avis ne parle ni d'iOS ni d'Android, et ce guide ne prétend rien sur les logiciels qu'ils contiennent.

Un site piraté peut-il quand même poser problème sur mon téléphone ?

Oui, d'une autre façon, et un détail compte pour les téléphones. Les règles de Google pour les propriétaires de sites indiquent que des pirates peuvent injecter du code qui redirige les internautes vers des pages nuisibles ou contenant du spam, et que le type de redirection dépend parfois de l'URL de provenance, du user-agent ou de l'appareil. Un site piraté peut donc se comporter autrement sur votre téléphone que sur un ordinateur portable.

Notre guide visiter un site piraté, est-ce dangereux ? explique ce qu'un site piraté peut faire, les avertissements des navigateurs, et quoi faire si vous avez déjà saisi un mot de passe là où il ne fallait pas. Pour vos comptes chez les services que vous utilisez, voyez données personnelles piratées, que faire ?

Comment mettre à jour mon iPhone ?

Apple indique que mettre régulièrement à jour vos logiciels est l'une des meilleures méthodes pour garantir la sécurité de votre produit Apple. Ce n'est pas un correctif de PHP2Shell, simplement une bonne pratique que Cybermalveillance.gouv.fr recommande aussi.

Sauvegardez votre iPhone avec iCloud ou votre ordinateur.
Branchez-le sur une source d'alimentation et connectez-le au Wi-Fi.
Ouvrez Réglages > Général > Mise à jour logicielle.
Si une mise à jour est disponible, touchez Télécharger et installer, puis suivez les instructions à l'écran.

Pour que les mises à jour s'installent seules, allez dans Réglages > Général > Mise à jour logicielle > Mises à jour automatiques et activez Installation automatique. Apple précise que l'iPhone les installe alors pendant la nuit, s'il est branché et connecté au Wi-Fi, et vous prévient avant.

Comment mettre à jour un téléphone Android ?

Pour connaître votre version, ouvrez l'application Paramètres, appuyez sur À propos du téléphone, puis sur Version d'Android : vous y voyez la version d'Android, la mise à jour de sécurité Android, la mise à jour du système Google Play et le numéro de version.

Connectez-vous au Wi-Fi et rechargez le téléphone à au moins 75 %. Google précise que les mises à jour peuvent être volumineuses.
Ouvrez Paramètres > Système > Mises à jour logicielles.
Consultez l'état de la mise à jour et suivez les instructions à l'écran.

Google ajoute que les appareils plus anciens ne sont pas toujours compatibles avec les nouvelles versions d'Android.

Où télécharger ses applications ?

Dans les boutiques officielles. Cybermalveillance.gouv.fr conseille aussi de faire les mises à jour de vos appareils et logiciels dès qu'elles sont disponibles, et de ne les télécharger que depuis les sites officiels.

Sur iPhone, les apps viennent de l'App Store, et Apple indique que 100 % des apps y sont soumises à un dépistage automatique des logiciels malveillants connus. Sur Android, Google Play Protect analyse vos applications et votre appareil pour détecter tout comportement dangereux, et contrôle les applications du Play Store avant leur téléchargement. Pour vérifier qu'il est actif, ouvrez le Play Store, appuyez sur l'icône du profil, puis Play Protect > Paramètres, et vérifiez que « Analyser les applications avec Play Protect » est activé.

Le rôle de Failshot

Les versions de Failshot pour iPhone, Android et Windows seront bientôt disponibles.

Sur Mac, Failshot est une deuxième couche de sécurité pour l'appareil. Votre mot de passe est la première couche, et Failshot est celle qui vient après, pour le moment où quelqu'un s'assoit devant votre Mac et le déverrouille. Quand il est activé, il prend en photo la personne qui déverrouille votre Mac, puis, avec Pro, enregistre une vidéo de 5 secondes, et sa fenêtre lui indique que ce déverrouillage a été photographié. Pour le désactiver, ou le quitter depuis son menu, il faut Touch ID ou votre code PIN Failshot et votre réponse, jamais le mot de passe de votre Mac.

L'application pour Mac se télécharge gratuitement sur failshot.app, avec macOS 14 ou une version ultérieure. Utilisation gratuite. Pro ajoute la vidéo, les alertes par e-mail et le coffre-fort chiffré. Essayez Failshot Pro pour Mac gratuitement pendant 7 jours sur failshot.app. Votre carte est demandée à l'inscription et débitée le 8e jour, sauf si vous annulez. L'application est en anglais.

Autres questions

Existe-t-il une mise à jour PHP2Shell pour iPhone ou Android ?

L'avis PHP n'en mentionne aucune. Au 23 octobre 2026, sa correction passe par de nouvelles versions de PHP, que notre guide pour vérifier la version de PHP liste, et il ne cite aucun logiciel de téléphone. Installez les mises à jour d'Apple et de Google quand elles arrivent, quel que soit leur contenu.

Mon téléphone est ancien et ne reçoit plus de mises à jour. Dois-je m'inquiéter de PHP2Shell ?

PHP2Shell concerne les serveurs, ce n'est donc pas la raison. La remarque générale de Cybermalveillance.gouv.fr reste valable : un appareil qui ne reçoit plus de mises à jour est plus vulnérable, et il vaut mieux vérifier, avant d'acheter, jusqu'à quand le fabricant en publiera.

La faille PHP touche-t-elle mon Mac ou mon ordinateur portable ?

Cela dépend de la présence de PHP sur la machine, une question distincte de celle du téléphone. Notre guide faille PHP et Mac montre comment vérifier dans Terminal et comment mettre à jour.

Faut-il arrêter d'utiliser des sites web en attendant ?

Ni l'avis PHP, ni l'alerte du CERT-FR, ni l'AlerteCyber ne demandent au public d'arrêter d'utiliser des sites. Leurs consignes visent ceux qui font tourner PHP : mettre à jour. Comme visiteur, la prudence habituelle suffit, surtout avec les téléchargements et les pages de connexion.