Hébergement mutualisé & infogéré

PHP2Shell en hébergement mutualisé et infogéré

Si quelqu’un d’autre gère votre serveur, c’est à lui d’installer le PHP corrigé. Votre rôle : choisir la version de PHP la plus récente pour votre site, vérifier la version exacte et obtenir la confirmation de votre hébergeur.

Dernière vérification 2026-10-22

L’état des hébergeurs change d’heure en heure

Nous ne listons que ce que les hébergeurs ont dit publiquement. Si le vôtre n’y figure pas, cela ne veut pas dire qu’il n’a pas corrigé — demandez-lui.

Que faire

  1. Basculez votre site vers la version de PHP la plus récente proposée par votre panneau (8.4 ou 8.5 si disponible ; testez le site ensuite).
  2. Vérifiez la version exacte utilisée par le site — dans votre CMS (WordPress, Drupal, Joomla) ou avec le fichier ci-dessous — et collez-la dans le vérificateur.
  3. Demandez à votre hébergeur de confirmer le correctif et le redémarrage des workers, avec le message ci-dessous.
  4. Aucun build corrigé disponible ? Demandez un rétroportage même pour PHP 8.1 ou antérieur, isolez les services exposés jusqu’au correctif et planifiez une migration.
php
<?php
// Save as v-<random>.php in your web root, open it in a browser, then DELETE it.
echo PHP_VERSION, ' ', PHP_SAPI, PHP_EOL;

Où changer de version de PHP

PanneauOùComment PHP est corrigé
cPanelLogiciels → MultiPHP Manager (ou Select PHP Version sous CloudLinux)Paquets ea-phpXY / alt-phpXY ; avant la publication, cPanel a annoncé des mises à jour pour ea-php74 – ea-php85 dès la sortie amont (pas encore confirmé).
PleskSites Web & Domaines → PHP (paramètres PHP)Gestionnaires plesk-phpXY, mis à jour via l’installateur Plesk. Le jour de la publication, des clients demandaient encore un calendrier sur le forum Plesk.
DirectAdminAccount Manager → sélecteur de version PHP (si activé par l’hébergeur)Builds via CustomBuild ; l’hébergeur doit recompiler PHP.
CloudLinux (derrière de nombreux hébergeurs)Select PHP VersionBuilds alt-php ; CloudLinux a annoncé des paquets corrigés après la publication amont.
hPanel (Hostinger) et autres panneaux maisonEn général Avancé → Configuration PHPCorrigé de façon centralisée par l’hébergeur.

Administrateurs de ces panneaux : les commandes se trouvent dans le guide de mise à jour (onglets cPanel et Plesk).

Message pour votre hébergeur

e-mail à votre hébergeur
Objet : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — état du correctif

Bonjour,

Pouvez-vous confirmer que l’environnement PHP qui sert mon ou mes site(s)
<domaine> a été mis à jour vers une version corrigeant CVE-2026-109618 et
CVE-2026-109619 (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ou un build éditeur
intégrant le rétroportage), et que les workers PHP-FPM / LSAPI ont ensuite
été redémarrés ?

Si mon compte utilise PHP 8.1 ou plus ancien, vers quelle version corrigée
puis-je migrer ?

Merci et bonne journée

Questions

Puis-je mettre PHP à jour moi-même en hébergement mutualisé ?+

Non. Les binaires PHP appartiennent à l’hébergeur. Vous pouvez basculer votre site vers une version plus récente dans le panneau, mais les builds corrigés doivent être installés par l’hébergeur.

Mon hébergeur ne propose que PHP 8.1 ou plus ancien. Que faire ?+

Demandez-lui s’il fournit un build rétroporté par l’éditeur (CloudLinux et certains panneaux le font). Sinon, cet hébergeur ne peut pas vous protéger de PHP2Shell — prévoyez de partir, et placez en attendant un WAF comme Cloudflare devant votre site.

Sélectionner PHP 8.4 dans cPanel corrige-t-il le problème ?+

Seulement si l’hébergeur a installé le build 8.4 corrigé (8.4.27 ou un rétroportage). Choisir une branche ne la met pas à jour. Vérifiez la version exacte après le changement.

Voir aussi