Données originales · issues de vérifications réelles
Correctifs PHP2Shell : combien de sites restent vulnérables ?
Totaux de 5666 vérifications de sites faites avec notre vérificateur gratuit depuis le 2026-10-21. Chaque site compte une fois, selon sa dernière vérification. Données au 2026-10-23 04:53 UTC.
Dernière vérification 2026-10-23
456 sites
affichaient une version exacte de PHP, sur 4522 sites vérifiés.
194 corrigés (43 %)
Annoncent 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent sur leur branche.
106 non mis à jour (23 %)
Sur une branche maintenue (8.2–8.5), mais sous la version corrigée.
156 en fin de vie (34 %)
Sur PHP 8.1 ou plus ancien, sans version officielle corrigée.
Comparaison avec les scans à l’échelle d’Internet
Un suivi à l’échelle d’Internet estimait au 2026-10-23 la part corrigée de tous les hôtes PHP visibles à 6.96 % (PHP2Shell tracker) ; Censys publie des données de scan toutes les heures. Notre part corrigée est plus élevée, car les gens vérifient les sites dont ils s’occupent, et certains revérifient après avoir corrigé. Les deux vont dans le même sens : la plupart des PHP qui affichent leur version ne sont pas encore corrigés.
Taux de correction par branche PHP
Sites affichant une version exacte, regroupés par branche.
| Branche | Sites | Corrigés | Non mis à jour | Part corrigée |
|---|---|---|---|---|
| 8.5 | 85 | 45 | 40 | 53% |
| 8.4 | 55 | 46 | 9 | 84% |
| 8.3 | 97 | 64 | 33 | 66% |
| 8.2 | 63 | 39 | 24 | 62% |
| 8.1 et antérieures | 156 | 0 | 156 | 0% |
Branches en fin de vie les plus fréquentes : 7.4 (58), 8.1 (25), 8.0 (13). Elles n’ont pas de version PHP officielle corrigée ; voir les options pour les anciennes versions.
Ce que les vérifications ont pu voir
La plupart des sites masquent leur version de PHP. Les chiffres ci-dessus ne couvrent donc qu’une petite partie visible des vérifications.
| Résultat | Sites | Part |
|---|---|---|
| PHP, version lisible | 456 | 10% |
| PHP, version masquée | 1 452 | 32% |
| Pas PHP | 506 | 11% |
| Pas assez d’indices | 1 178 | 26% |
| Injoignable ou vérification bloquée | 930 | 21% |
Par jour
Sites distincts à version lisible vérifiés chaque jour (UTC), et combien étaient corrigés.
| Jour (UTC) | Sites | Corrigés | Part corrigée |
|---|---|---|---|
| 2026-10-21 | 5 | 2 | 40% |
| 2026-10-22 | 442 | 189 | 43% |
| 2026-10-23 | 27 | 4 | 15% |
Méthode et limites
- Source : vérifications faites sur ce site avec le vérificateur gratuit. Seuls des totaux sont publiés ; aucune adresse, aucun hôte ni visiteur n’est cité.
- Chaque site (nom d’hôte, sans « www. ») compte une fois, selon sa dernière vérification. Les adresses invalides, privées ou pointant vers ce site sont exclues.
- Une version n’est lisible que si le serveur l’expose, en général dans l’en-tête
X-Powered-By. Un rétroportage d’éditeur peut corriger une version d’apparence ancienne, et un site peut annoncer une version corrigée alors que d’anciens workers tournent encore : le résultat d’un site est un indice, pas une preuve. - Échantillon auto-sélectionné : les gens vérifient les sites qu’ils gèrent ou qui les inquiètent, après avoir entendu parler de PHP2Shell. Ce n’est pas un échantillon aléatoire du web.
Questions
Combien de sites sont encore vulnérables à PHP2Shell ?+
Sur les 456 sites de nos vérifications qui affichent une version exacte de PHP, 57 % (262) tournent sur une version sans correctif : 106 sur une branche maintenue non mise à jour et 156 sur une branche en fin de vie. Données au 2026-10-23 04:53 UTC.
Pourquoi votre part corrigée est-elle plus élevée que celle des scans d’Internet ?+
Les scans d’Internet comptent chaque hôte PHP visible, y compris les sites abandonnés ; au 2026-10-23, un suivi donnait 6.96 % de corrigés. Nos chiffres viennent de sites que des personnes ont choisi de vérifier, parfois après correction, et penchent donc vers les sites corrigés.
Quelle branche PHP a le plus faible taux de correction ?+
Parmi les branches maintenues, PHP 8.5 : seuls 53 % des sites qui l’affichent tournent sur la version corrigée.
S’agit-il d’un échantillon aléatoire d’Internet ?+
Non. Ce sont des sites que des personnes ont choisi de vérifier, souvent les leurs ou ceux de leurs clients. Ceux qui ont déjà corrigé vérifient peut-être plus souvent, et la plupart des sites masquent leur version. Voyez ces chiffres comme un indice, pas un recensement.
Vérifiez votre propre site
Voir aussi
- Site et version PHPVérifiez les signaux PHP publics d’un site par URL ou collez une version. Comprenez les correctifs PHP2Shell et les questions à poser à votre hébergeur.
- Corriger / mettre à jourCorriger PHP2Shell sur Linux, Docker, cPanel, Plesk, macOS et Windows : mise à jour, redémarrage, vérification et options pour les anciens PHP.
- ChronologieChronologie de PHP2Shell : audit de 2024, publication du 21 octobre 2026, horaires UTC, fuites, chercheurs et réponse de la PHP Foundation.