PHP2Shell : ce que les sites WordPress doivent faire

Le 21 octobre 2026, le projet PHP a publié un correctif d’urgence pour deux failles critiques dans PHP lui-même. Les chercheurs en sécurité les appellent PHP2Shell. Ensemble, elles permettent à un attaquant d’exécuter son propre code sur un serveur web sans se connecter, et les attaques ont commencé plusieurs heures avant la sortie du correctif. PHP fait tourner la majeure partie du web, et il fait tourner chaque site WordPress.

Si vous possédez ou gérez un site WordPress, le point le plus important est celui que la plupart des gens comprennent mal : mettre à jour WordPress ne sert à rien ici. La faille se trouve dans la couche PHP, sous WordPress, ses extensions et son thème. Votre site n’est protégé qu’une fois que le serveur qui l’héberge utilise une version corrigée de PHP. Voici ce qui s’est passé, comment vérifier votre site en cinq minutes, et un avis honnête sur la question de quitter WordPress.

Tout ce qui suit reflète la situation au 23 octobre 2026. Elle évolue encore, alors suivez l’avis officiel de PHP pour les mises à jour.

Ce qu’est PHP2Shell

PHP2Shell est le surnom de deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619. L’équipe de sécurité de PHP les classe toutes deux comme critiques, avec une note de 9,2 sur 10.

• CVE-2026-109618 se déclenche quand PHP manque de mémoire au milieu de la préparation d’une requête. L’étape de nettoyage peut alors traiter des données à moitié construites comme valides.
• CVE-2026-109619 permet à des données internes d’une requête de survivre après la libération de leur mémoire, si bien que la requête suivante traitée par le même processus peut utiliser ces données périmées.

Concrètement, une requête bien construite peut corrompre la mémoire de PHP et prendre le contrôle du serveur. Aucun mot de passe, aucune extension et aucun accès administrateur ne sont nécessaires. Patchstack rapporte que les chercheurs de Wiz ont montré qu’une simple page PHP « Hello World » peut être exploitée, et que toutes les versions de PHP depuis la 5.4 sont touchées par au moins une des deux failles. Toutes les façons courantes d’exécuter PHP sont concernées : PHP-FPM, Apache mod_php, CGI, LiteSpeed et FrankenPHP.

Pourquoi celle-ci est plus grave que d’habitude

Trois éléments distinguent PHP2Shell des failles d’extensions auxquelles les propriétaires de sites WordPress sont habitués.

Elle se situe sous WordPress. Les extensions de sécurité, les pare-feu intégrés à WordPress et le mode maintenance ne peuvent pas l’arrêter, car l’attaque frappe avant le chargement de WordPress. WordPress.org a confirmé qu’« aucune mise à jour de WordPress n’est requise ni prévue ». Le correctif doit venir de celui qui gère votre serveur.

Les attaquants avaient une longueur d’avance. PHP a annoncé la publication le 20 octobre pour le lendemain à 14 h UTC. Les détails ont fuité avant. Cloudflare a signalé les premières attaques à 7 h 43 UTC le 21 octobre, environ six heures avant la sortie du correctif, et son PDG a ensuite fait état de centaines de milliers de tentatives d’exploitation dans les deux heures suivant l’annonce, puis de millions le lendemain.

Les anciennes versions de PHP n’ont pas de correctif officiel. Le projet PHP ne publie de nouvelles versions que pour les branches prises en charge : 8.2, 8.3, 8.4 et 8.5. Pour tout ce qui est plus ancien, vous dépendez de votre hébergeur, de votre distribution Linux ou d’un prestataire de support payant qui rétroporte le correctif.

C’est là que WordPress est exposé. Selon les statistiques d’utilisation de WordPress.org, 34,7 % des sites WordPress tournent sous PHP 8.1 ou plus ancien, des versions qui ne reçoivent aucune publication officielle. 23,5 % de plus tournent sous PHP 8.2, corrigé aujourd’hui mais en fin de vie le 31 décembre 2026. Au total, près de six sites WordPress sur dix utilisent une version de PHP qui n’est plus prise en charge, ou ne le sera plus d’ici dix semaines.

Vérifiez votre site en cinq minutes

Pas besoin d’être technique. Il vous faut connaître votre version de PHP et savoir qui est chargé de la mettre à jour.

1. Trouvez votre version de PHP. Dans votre tableau de bord WordPress, allez dans Outils, puis Santé du site, puis Informations, et ouvrez la section Serveur. La version de PHP y figure.
2. Comparez-la aux versions corrigées. Vous êtes protégé si vous utilisez PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou toute version plus récente.
3. Demandez à votre hébergeur avant de paniquer. Certains hébergeurs rétroportent le correctif sans changer le numéro de version, donc un serveur corrigé peut encore afficher un numéro plus ancien. Écrivez à votre hébergeur et posez une seule question : « Le PHP de mon serveur est-il corrigé pour CVE-2026-109618 et CVE-2026-109619 ? » Obtenez la réponse par écrit.
4. Si vous êtes sous PHP 8.1 ou plus ancien, planifiez une mise à niveau dès maintenant. Même si votre hébergeur a rétroporté ce correctif, votre version de PHP ne reçoit plus de correctifs de manière régulière. Passer à PHP 8.3 ou 8.4 peut casser d’anciennes extensions et d’anciens thèmes, alors testez d’abord sur une copie de préproduction.
5. Si vous gérez votre propre serveur et ne pouvez pas le corriger aujourd’hui, PHP et Patchstack indiquent des mesures temporaires, comme définir session.upload_progress.enabled=0 puis redémarrer PHP. WordPress n’utilise pas cette fonction, donc la désactiver ne devrait pas affecter un site classique. Le 23 octobre, PHP a recommandé le même réglage contre un troisième vecteur d’attaque, moins probable, qu’il corrigera dans sa prochaine version régulière. Ces réglages réduisent le risque. Ils ne remplacent pas la mise à jour.

Deux mises en garde. N’installez pas d’extensions « correctif PHP2Shell » et ne collez pas de bouts de code trouvés sur des forums : une extension ne peut pas changer le PHP de votre serveur, et les faux correctifs sont un moyen classique d’installer des logiciels malveillants pendant une alerte. Et si vous utilisez UpdraftCentral pour gérer plusieurs sites, Patchstack signale par ailleurs des clés UpdraftCentral volées utilisées pour installer des portes dérobées sur des sites WordPress. Supprimez et régénérez ces clés.

Les signes que votre site a été ciblé

Patchstack liste quelques signaux à vérifier dans les journaux de votre serveur. Aucun ne constitue une preuve dans un sens ou dans l’autre.

• Des requêtes multipart inhabituelles suivies d’erreurs de limite mémoire ou d’erreurs 500 répétées
• Des cookies PHPSESSID anormalement volumineux ou malformés
• Des processus PHP qui redémarrent sans explication

Si vous les observez, mettez d’abord PHP à jour, puis considérez le serveur comme potentiellement compromis : changez chaque mot de passe et chaque clé API qu’il contient, y compris les identifiants de base de données, les clés de paiement et d’e-mail, et les accès administrateur. Si vous ne savez pas ce que cela implique, c’est le moment de faire appel à quelqu’un qui le sait.

La vraie leçon : qui maintient votre stack ?

PHP2Shell n’est pas un bug de WordPress. Mais il montre comment un site WordPress est construit : WordPress au-dessus de PHP, au-dessus d’un serveur web, au-dessus d’un système d’exploitation, plus chaque extension et chaque thème installés. Chaque couche doit être mise à jour, et chacune a un responsable. Pour beaucoup d’entreprises, personne n’est clairement ce responsable. Le site a été construit une fois, l’agence est passée à autre chose, et l’hébergement se renouvelle chaque année sans que personne ne vérifie quelle version de PHP il utilise.

C’est pourquoi certains sites ont été corrigés en quelques heures cette semaine et d’autres restent exposés. La différence tenait rarement au logiciel. Elle tenait à l’existence d’un responsable.

Les plateformes construites autrement portent moins ce fardeau. Sur une plateforme hébergée comme Webflow ou Framer, il n’y a pas de PHP sur un serveur que vous louez, et la plateforme corrige sa propre infrastructure pour tous ses clients à la fois. Un site statique ou rendu en périphérie, comme ceux que nous construisons avec Astro, sert des pages préconstruites et n’exécute aucun PHP, donc une faille comme celle-ci n’a rien à attaquer. Aucune plateforme n’est sans risque. La question est la part de ce risque que vous portez vous-même, et le temps que vous avez pour la gérer.

Faut-il quitter WordPress pour autant ?

Pas automatiquement. Si votre hébergeur a corrigé en moins d’une journée, que votre version de PHP est à jour et que quelqu’un est responsable des mises à jour, PHP2Shell est une mauvaise semaine, pas une raison de tout reconstruire.

Une migration mérite réflexion si l’une de ces situations vous parle :

• Vous êtes sous PHP 8.1 ou plus ancien et la mise à niveau casserait des extensions que plus personne ne maintient.
• Personne n’est responsable de la stack. Vous avez appris l’existence de PHP2Shell par les actualités, pas par votre hébergeur ou votre développeur.
• Votre site se compose surtout de pages marketing et d’un blog. Vous payez le coût de maintenance d’un serveur d’application complet pour un contenu qui n’en a pas besoin.
• Vous prévoyiez déjà une refonte. Une reconstruction sur une plateforme plus simple à maintenir coûte à peu près la même chose, et vous cessez d’hériter des risques de l’ancienne stack.

Deux façons de laisser PHP derrière vous, et nous pouvons vous migrer vers l’une ou l’autre

Si vous décidez de migrer, nous recommandons deux voies. Toutes deux suppriment complètement PHP de votre site, donc une faille comme PHP2Shell n’a rien à attaquer, et aucune ne vous laisse un serveur à corriger.

Option 1 : passer à Webflow

Webflow est une plateforme hébergée. Pas de serveur à louer, pas de PHP à gérer : Webflow gère l’infrastructure, la corrige pour tous ses clients à la fois et sert votre site depuis un CDN mondial, SSL et sauvegardes inclus. Votre équipe modifie les pages et publie les articles dans un éditeur visuel, sans développeur et sans extensions à mettre à jour.

• Idéal pour : les sites marketing, les blogs, la génération de leads, et les équipes qui veulent modifier les pages elles-mêmes.
• À savoir : vous payez un abonnement mensuel, et les fonctionnalités applicatives complexes passent par des intégrations plutôt que des extensions.

Nous sommes spécialistes de Webflow. Découvrez le développement Webflow chez Carril pour voir comment nous travaillons.

Option 2 : un site entièrement codé sur Cloudflare

La seconde voie est un site codé sur mesure, construit avec un framework moderne comme Astro ou Next.js et déployé sur le réseau mondial de Cloudflare. Les pages sont construites à l’avance et servies depuis des centres de données proches de chaque visiteur, et les quelques parties dynamiques, comme les formulaires ou la recherche, s’exécutent sous forme de petites fonctions sur la plateforme de Cloudflare. Pas de PHP, pas de serveur web et pas de système d’exploitation à corriger de votre côté. Cloudflare maintient la plateforme sous-jacente.

• Idéal pour : la vitesse, les fonctionnalités sur mesure, les sites multilingues, les forts volumes de trafic, et la pleine propriété de votre code, sans dépendance à une plateforme.
• À savoir : les modifications de contenu passent par le code ou par un CMS connecté, ce qui convient aux équipes qui ont un développeur ou une agence à leurs côtés.

C’est ainsi que notre propre site est construit. Quand PHP2Shell a éclaté, il n’y avait rien à corriger sur notre site. Découvrez le développement web chez Carril pour la voie sur mesure.

Comment nous gérons la migration pour vous

C’est pendant la migration que la plupart des sites perdent du trafic, alors nous menons tout le processus en tant que Co-Driver :

1. Consultation gratuite. Nous examinons votre site, votre version de PHP, vos extensions et vos objectifs, puis recommandons Webflow ou Cloudflare. Si rester sur WordPress avec un PHP corrigé est le bon choix, nous vous le dirons.
2. Un plan pour chaque URL. Chaque page qui change d’adresse reçoit une redirection 301, pour garder le positionnement et le trafic que l’ancien site a gagnés. Vous pouvez le prévisualiser vous-même avec notre planificateur de migration gratuit : indiquez votre site, choisissez Webflow, Astro ou Next.js, et il liste chaque URL et construit le fichier de redirections.
3. Design, développement et contenu. Nous reconstruisons le site, transférons vos pages, articles, images et réglages SEO, et reconnectons vos formulaires, vos analyses et votre suivi.
4. Un lancement sûr. Nous testons chaque redirection, soumettons le nouveau sitemap à Google et Bing, et surveillons les erreurs 404 et les positions dans les semaines qui suivent.

Les fondateurs ont une seule équipe pour toute la migration, sans développeur interne. Les responsables marketing ont un partenaire senior qui travaille avec leur équipe et tient le calendrier. Réserver une Consultation Gratuite et nous vous dirons quelle voie convient à votre site.

Pour aller plus loin, lisez notre guide de migration de WordPress vers Webflow et notre comparatif Webflow et WordPress.

Chronologie de PHP2Shell

• 20 octobre 2026. PHP annonce une publication de sécurité critique pour le lendemain à 14 h UTC. Les détails des failles fuitent.
• 21 octobre, matin. Des hébergeurs partenaires signalent une exploitation active à Patchstack, et Cloudflare observe les premières attaques à 7 h 43 UTC.
• 21 octobre, après-midi. PHP publie les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, qui corrigent les deux CVE. Les hébergeurs commencent à déployer les correctifs.
• 23 octobre. PHP publie un avis informatif recommandant session.upload_progress.enabled=0 jusqu’à sa prochaine version régulière.
• 31 décembre 2026. PHP 8.2 arrive en fin de vie et ne reçoit plus de correctifs de sécurité.

En bref

PHP2Shell est une faille de PHP, pas de WordPress : la solution est une version corrigée de PHP sur votre serveur, pas une mise à jour de WordPress. Vérifiez votre version aujourd’hui, faites confirmer le correctif par écrit par votre hébergeur, et planifiez une mise à niveau si vous êtes sous PHP 8.1 ou plus ancien. Puis posez la vraie question : qui est responsable de votre stack, et est-ce vous ?

Si vous préférez ne plus avoir de serveurs à corriger, passez à Webflow ou à un site entièrement codé sur Cloudflare, et nous pouvons gérer la migration pour vous, du plan d’URL jusqu’au lancement. Réserver une Consultation Gratuite. Nous ferons le point sur votre site et vous dirons honnêtement s’il a besoin d’un correctif ou d’un nouveau départ. Votre Co-Driver pour le web.

Questions fréquentes

Mettre à jour WordPress corrige-t-il PHP2Shell ? Non. La faille se trouve dans PHP, le langage sur lequel tourne WordPress. WordPress.org a indiqué qu’aucune mise à jour de WordPress n’est prévue. Seule une version corrigée de PHP sur votre serveur règle le problème.

Quelles versions de PHP sont sûres ? PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 et les versions plus récentes. Les versions plus anciennes ne sont sûres que si votre hébergeur ou votre distribution Linux a rétroporté le correctif, alors demandez-leur confirmation.

Une extension de sécurité peut-elle protéger mon site ? Non. L’attaque a lieu avant le chargement de WordPress et de ses extensions. Un pare-feu placé devant le serveur, comme Cloudflare, peut bloquer certains schémas d’attaque connus, mais il ne remplace pas la mise à jour de PHP.

Les sites Webflow et Framer sont-ils touchés ? Sur ces plateformes, votre site ne tourne pas sur un PHP que vous gérez, donc vous n’avez rien à corriger. Chaque plateforme est responsable de la mise à jour de sa propre infrastructure.

Carril peut-il migrer mon site WordPress vers Webflow ou Cloudflare ? Oui. Nous planifions chaque redirection, reconstruisons le site sur Webflow ou en code sur Cloudflare, transférons votre contenu et vos réglages SEO, et gérons le lancement. Tout commence par une consultation gratuite.

Mon hébergeur dit que je suis protégé, mais Santé du site affiche une ancienne version. Qui a raison ? Peut-être les deux. Les correctifs rétroportés conservent souvent l’ancien numéro de version. Demandez à votre hébergeur de confirmer par écrit que votre serveur est corrigé pour CVE-2026-109618 et CVE-2026-109619.