Drupal · PHP2Shell

Mon site Drupal est-il concerné par PHP2Shell ?

Probablement, sauf si votre PHP est déjà corrigé. Drupal a été la première application compromise par les chercheurs avec PHP2Shell, mais le bug est dans PHP : votre version de Drupal et vos modules ne changent pas la réponse.

Dernière vérification 2026-10-22

Mettre à jour Drupal ne corrige pas le problème

PHP2Shell se trouve dans PHP lui-même, sous Drupal. Des chercheurs ont démontré une exécution de code à distance sans authentification sur l’image officielle drupal:latest — Drupal a été la première cible confirmée, le 20 août 2026. Ce qui compte, c’est la version de PHP de votre serveur, et seul celui qui gère le serveur peut la mettre à jour.

1. Trouver votre version de PHP dans Drupal

Cela affiche le PHP qui sert réellement votre site — c’est celui qui compte.

  1. Connectez-vous en administrateur et allez dans Rapports → Rapport d’état (/admin/reports/status).
  2. Repérez la ligne PHP — elle indique la version utilisée par le serveur web.
  3. Les sites Drupal 7 l’affichent au même endroit.
ligne de commande (affiche le PHP CLI — peut différer du serveur web)
drush status --field=php-version     # Drush (CLI PHP)
drush php:eval 'echo PHP_VERSION, PHP_EOL;'

2. Comparer

Collez une version, la sortie de php -v, ou une version par ligne pour tout un parc. Tout s’exécute dans votre navigateur.

Essayez :

La CLI et le serveur web peuvent utiliser des builds PHP différents. Vérifiez la version réellement utilisée par votre serveur web : php-fpm -v (ou php-fpm8.3 -v), ou phpinfo() servi par ce site.

BrancheVulnérableCorrigé dans
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4toutesRétroportage source seulement
5.4 – 7.3toutesAucun correctif

3. Faire corriger

Hébergement mutualisé ou infogéré

Votre hébergeur met PHP à jour. Choisissez la version de PHP la plus récente dans votre panneau, puis demandez-lui de confirmer le correctif et le redémarrage. Guide hébergement →

Votre propre serveur, VPS ou conteneur

Vous (ou votre développeur) mettez PHP à jour et redémarrez PHP-FPM / Apache. Guide de mise à jour →

e-mail à votre hébergeur
Objet : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — état du correctif

Bonjour,

Pouvez-vous confirmer que l’environnement PHP qui sert mon ou mes site(s)
<domaine> a été mis à jour vers une version corrigeant CVE-2026-109618 et
CVE-2026-109619 (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ou un build éditeur
intégrant le rétroportage), et que les workers PHP-FPM / LSAPI ont ensuite
été redémarrés ?

Si mon compte utilise PHP 8.1 ou plus ancien, vers quelle version corrigée
puis-je migrer ?

Merci et bonne journée

Hébergement Drupal infogéré

Les plateformes Drupal comme Acquia et Pantheon gèrent PHP pour vous. Nous n’avons pas vérifié leur état — consultez leurs pages de statut ou leur support, ou envoyez le message ci-dessus.

Auto-hébergé avec Docker ? Reconstruisez sur une image de base php corrigée ou récupérez l’image drupal reconstruite, et vérifiez la version de PHP dans le conteneur avant de déployer.

4. Après la correction

  • Vérifiez à nouveau la version de PHP dans Drupal — elle doit indiquer une version corrigée (ou faites confirmer un build rétroporté par votre hébergeur).
  • Si le site est resté exposé un moment, changez les mots de passe administrateur et les clés d’API stockés dans sa configuration, et cherchez des administrateurs inconnus ou de nouveaux fichiers PHP. Guide de détection →

Questions

Mon site Drupal est-il concerné par PHP2Shell ?+

S’il tourne sur un PHP antérieur à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (et que l’hébergeur n’a pas installé de paquet corrigé), oui. La version de Drupal, le thème et les extensions n’y changent rien — le bug est dans PHP.

Mettre à jour Drupal corrige-t-il PHP2Shell ?+

Non. Les mises à jour de Drupal modifient l’application, pas l’environnement PHP en dessous. Gardez Drupal à jour malgré tout, mais la correction est une mise à jour de PHP par celui qui gère votre serveur.

Un attaquant a-t-il besoin d’un compte administrateur ?+

Non. Les attaques démontrées fonctionnent avant authentification : pas de connexion, pas d’extension ou de module particulier, seulement des requêtes HTTP vers le site.

Existe-t-il un avis de sécurité Drupal pour PHP2Shell ?+

PHP2Shell n’est pas une vulnérabilité de Drupal ; une version du cœur de Drupal ne la corrige donc pas. Suivez les avis de PHP et votre hébergeur ou éditeur d’OS pour la mise à jour de l’environnement.

Drupal 7 change-t-il quelque chose ?+

Pas pour ce bug, mais les sites Drupal 7 tournent souvent sur un vieux PHP (7.4 ou plus ancien), qui ne reçoit pas de nouvelle version. Ces sites ont besoin d’une migration de PHP — et donc généralement aussi d’une mise à niveau de Drupal.

Voir aussi