Joomla · PHP2Shell

Mon site Joomla est-il concerné par PHP2Shell ?

Probablement, sauf si votre PHP est déjà corrigé. Joomla faisait partie des trois cibles de démonstration publiques, mais le bug est dans PHP — votre version de Joomla et vos extensions ne changent pas la réponse.

Dernière vérification 2026-10-22

Mettre à jour Joomla ne corrige pas le problème

PHP2Shell se trouve dans PHP lui-même, sous Joomla. Des chercheurs ont démontré une exécution de code à distance sans authentification sur l’image officielle joomla:latest. Ce qui compte, c’est la version de PHP de votre serveur, et seul celui qui gère le serveur peut la mettre à jour.

1. Trouver votre version de PHP dans Joomla

Cela affiche le PHP qui sert réellement votre site — c’est celui qui compte.

  1. Connectez-vous à l’interface d’administration.
  2. Ouvrez Système → Informations système.
  3. Dans l’onglet Informations système, lisez la Version de PHP.
ligne de commande (affiche le PHP CLI — peut différer du serveur web)
php -v
php cli/joomla.php --version   # Joomla 4/5 console (shows the Joomla version)

2. Comparer

Collez une version, la sortie de php -v, ou une version par ligne pour tout un parc. Tout s’exécute dans votre navigateur.

Essayez :

La CLI et le serveur web peuvent utiliser des builds PHP différents. Vérifiez la version réellement utilisée par votre serveur web : php-fpm -v (ou php-fpm8.3 -v), ou phpinfo() servi par ce site.

BrancheVulnérableCorrigé dans
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4toutesRétroportage source seulement
5.4 – 7.3toutesAucun correctif

3. Faire corriger

Hébergement mutualisé ou infogéré

Votre hébergeur met PHP à jour. Choisissez la version de PHP la plus récente dans votre panneau, puis demandez-lui de confirmer le correctif et le redémarrage. Guide hébergement →

Votre propre serveur, VPS ou conteneur

Vous (ou votre développeur) mettez PHP à jour et redémarrez PHP-FPM / Apache. Guide de mise à jour →

e-mail à votre hébergeur
Objet : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — état du correctif

Bonjour,

Pouvez-vous confirmer que l’environnement PHP qui sert mon ou mes site(s)
<domaine> a été mis à jour vers une version corrigeant CVE-2026-109618 et
CVE-2026-109619 (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ou un build éditeur
intégrant le rétroportage), et que les workers PHP-FPM / LSAPI ont ensuite
été redémarrés ?

Si mon compte utilise PHP 8.1 ou plus ancien, vers quelle version corrigée
puis-je migrer ?

Merci et bonne journée

Hébergement Joomla infogéré

La plupart des sites Joomla tournent en hébergement mutualisé avec cPanel, Plesk ou DirectAdmin. Passez à la version de PHP la plus récente dans le panneau et demandez à l’hébergeur de confirmer le build corrigé. Nous n’avons pas vérifié l’état de chaque hébergeur.

4. Après la correction

  • Vérifiez à nouveau la version de PHP dans Joomla — elle doit indiquer une version corrigée (ou faites confirmer un build rétroporté par votre hébergeur).
  • Si le site est resté exposé un moment, changez les mots de passe administrateur et les clés d’API stockés dans sa configuration, et cherchez des administrateurs inconnus ou de nouveaux fichiers PHP. Guide de détection →

Questions

Mon site Joomla est-il concerné par PHP2Shell ?+

S’il tourne sur un PHP antérieur à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (et que l’hébergeur n’a pas installé de paquet corrigé), oui. La version de Joomla, le thème et les extensions n’y changent rien — le bug est dans PHP.

Mettre à jour Joomla corrige-t-il PHP2Shell ?+

Non. Les mises à jour de Joomla modifient l’application, pas l’environnement PHP en dessous. Gardez Joomla à jour malgré tout, mais la correction est une mise à jour de PHP par celui qui gère votre serveur.

Un attaquant a-t-il besoin d’un compte administrateur ?+

Non. Les attaques démontrées fonctionnent avant authentification : pas de connexion, pas d’extension ou de module particulier, seulement des requêtes HTTP vers le site.

Une extension de sécurité Joomla me protège-t-elle ?+

Non. Les extensions s’exécutent dans Joomla, après que PHP a déjà analysé la requête — le code vulnérable s’exécute avant. Un WAF devant le site aide ; la mise à jour de PHP corrige.

Je suis encore sur Joomla 3. Et maintenant ?+

Les sites Joomla 3 tournent souvent sur PHP 7.4 ou 8.0, qui ne reçoivent pas de nouvelle version. Demandez à votre hébergeur un build rétroporté en attendant, et planifiez le passage à Joomla 5 sur PHP 8.4 ou 8.5.

Voir aussi