🔒 Cybersécurité · Actualité

Faille PHP critique : PHP2Shell, versions touchées et comment protéger le site de votre PME

Quelles versions de PHP sont concernées, lesquelles sont corrigées, et quoi demander à votre prestataire web

YAD Informatique, partenaire informatique à Lyon Nous accompagnons les PME et ETI sur leur système d'information, leur gestion et leur cybersécurité. Cet article fait le point sur une alerte qui concerne tous les sites tournant sous PHP.

🛡️ Diagnostic cybersécurité pour PME

Ce qui s'est passé : deux failles PHP critiques en octobre 2026

PHP est le langage qui fait tourner une grande partie des sites web, dont les sites WordPress et PrestaShop. Quand une faille touche PHP lui-même, elle touche tout ce qui est construit dessus : votre site vitrine, votre boutique en ligne, votre portail client.

Le 21 octobre 2026, le PHP Project a publié une mise à jour de sécurité pour corriger deux failles. Elles portent les références CVE-2026-109618 et CVE-2026-109619. Une référence CVE, c'est le numéro d'identité public d'une faille connue. Les deux sont notées 9,2 sur 10 en gravité (score CVSS v4.0), donc critiques.

Les deux failles, en clair

Les deux failles permettent une exécution de code à distance : le pirate fait exécuter ses commandes par votre serveur, depuis internet, sans mot de passe.

• CVE-2026-109618 : quand le serveur manque de mémoire au mauvais moment, PHP laisse des données à moitié préparées, puis les traite comme valides. Le pirate en profite pour corrompre la mémoire.
• CVE-2026-109619 : après une erreur fatale, PHP garde une trace vers de la mémoire déjà libérée. La requête suivante, traitée par le même processus, peut s'en servir.

Le risque est le plus élevé avec mod_php (PHP intégré au serveur Apache), pour lequel PHP.net indique un exploit démontré sans authentification. Les autres configurations courantes sont aussi concernées : PHP-FPM, php-cgi, LiteSpeed et FrankenPHP. Source : l'avis officiel de PHP.net.

Une troisième référence à surveiller

PHP a publié le 23 octobre un avis sur une troisième référence, CVE-2026-115560, reprise par le CERT-FR. PHP indique qu'elle demande une combinaison inhabituelle de configuration et de code applicatif. Aucun correctif n'est encore publié : il viendra avec la prochaine mise à jour. En attendant, PHP recommande de désactiver une option précise (session.upload_progress.enabled), que votre prestataire saura régler.

Quelles versions de PHP sont touchées, et lesquelles sont corrigées

Le tableau ci-dessous reprend l'avis de PHP.net et l'alerte CERT-FR CERTFR-2026-ALE-014. Demandez à votre prestataire quelle version tourne sur votre site, puis comparez.

La précision sur PHP 7.3 et plus ancien, et sur le détail des versions 7.4 à 8.1, vient de l'analyse de watchTowr, qui recoupe l'avis de PHP.net. Le CERT-FR liste lui aussi toutes les versions 5, 7, 8.0 et 8.1 comme touchées.

C'est un piège classique : la mise à jour est faite sur le papier, mais le serveur n'a pas été relancé. Demandez à votre prestataire de confirmer que le redémarrage a bien eu lieu.

Quels sites ont été attaqués ?

Aucune victime n'est nommée publiquement à ce jour. Ni la CISA, ni le CERT-FR, ni PHP.net ne publient de liste de sites compromis. Voici ce qui est établi.

• L'exploitation est réelle. Le CERT-FR fait état, dans son alerte, de tentatives d'exploitation contre des installations PHP précises. La CISA a ajouté les deux failles à son catalogue des vulnérabilités exploitées (KEV) le 26 octobre.
• Les premiers essais ont précédé l'annonce. Selon The Register, AWS a vu des tentatives dès le 17 octobre, soit quatre jours avant la publication des correctifs.
• Le balayage est massif. Le laboratoire de l'université de Delft a compté plus de 50 000 requêtes d'exploitation, venues de plus de 600 adresses IP dans 70 pays, selon The Register.
• Des intrusions réussies ont été constatées sur des serveurs pièges. Un chercheur a enregistré 35 exécutions de commandes réussies sur trois serveurs de test volontairement exposés (des « honeypots »). Il relie cette activité à la seule CVE-2026-109618, sur PHP 8.4.26, et reste prudent : sa configuration n'est pas représentative. Ce sont des serveurs leurres, pas des entreprises.

Attention aux chiffres qui circulent. Selon The Register, Sophos a revu son analyse (il s'agissait surtout de scans et d'essais ratés), et Palo Alto Networks a retiré son lien avec une intrusion dans une administration européenne. Le Monde Informatique a par ailleurs rapporté que des sites exposés, dont des sites de préfectures, auraient été coupés par précaution. Ce point n'est pas confirmé officiellement.

Pour une PME, l'enseignement est simple : ce n'est pas une attaque ciblée sur de grands comptes. Les robots balaient tout internet à la recherche de PHP non corrigé. Votre taille ne vous protège pas.

Comment protéger votre site PHP : 6 gestes à demander à votre prestataire

Vous n'avez pas à toucher au serveur. Vous devez en revanche poser les bonnes questions et exiger des réponses datées.

Et si vous ne pouvez pas mettre à jour tout de suite ?

Des mesures temporaires existent. PHP.net les cite : désactiver l'option session.upload_progress.enabled, limiter la taille des envois de fichiers, fixer des limites de mémoire côté serveur. Votre prestataire les connaît.

Mais PHP.net est clair : ces mesures réduisent l'exposition, elles ne rendent pas l'installation sûre. Le CERT-FR dit la même chose. Seule la mise à jour règle le problème.

Les 4 questions à poser à votre prestataire web ou à votre DSI

Pas besoin de comprendre le code. Ces quatre questions suffisent à savoir où vous en êtes.

Au-delà de PHP : votre vraie question, c'est « où en sommes-nous ? »

Cette faille a un mérite : elle montre en quelques jours l'état réel d'un système d'information. Un site qui n'a pas été mis à jour depuis des années, une sauvegarde que personne n'a testée, un prestataire injoignable : ces fragilités existaient avant PHP2Shell.

Chez YAD Informatique, nous proposons aux PME un diagnostic cybersécurité. Il passe en revue cinq volets : la sauvegarde, les identités et accès, la messagerie, les postes de travail et la détection. Vous obtenez un score global, vos trois risques prioritaires et une feuille de route. L'analyse se fait à distance, en lecture seule, sans rien modifier dans votre configuration, et se termine par un débrief d'une heure avec un expert.

Ce diagnostic est un état des lieux et un plan d'action. Il ne remplace pas la mise à jour de PHP sur votre site, qui reste à faire avec votre prestataire web ou votre hébergeur. En revanche, il vous dit si vos sauvegardes, vos accès et votre détection tiendraient le choc le jour où une faille comme celle-ci vous touche vraiment. Pour l'accompagnement informatique au quotidien (assistance, maintenance, hébergement), vous pouvez aussi consulter la page partenaire informatique de YAD.

Sources officielles à consulter

Les informations de cet article ont été vérifiées le 28 octobre 2026. La situation évolue : consultez les avis d'origine avant toute décision.

• PHP.net : avis de sécurité du 21 octobre 2026
• CERT-FR (ANSSI) : alerte CERTFR-2026-ALE-014
• CISA : Critical Vulnerabilities in PHP Require Immediate Patching
• PHP Foundation : chronologie de la publication
• watchTowr : FAQ PHP2Shell
• The Register : exploitation confirmée par la CISA
• Le Monde Informatique : deux failles critiques dans PHP

Questions fréquentes sur la faille PHP