En termes simples

Qu’est-ce que PHP2Shell ?

PHP2Shell désigne deux failles de sécurité critiques dans PHP — le logiciel derrière la plupart des sites web. Des attaquants peuvent s’en servir pour prendre le contrôle d’un serveur web sans mot de passe. Un correctif existe ; le risque, ce sont les serveurs qui ne le reçoivent pas.

Dernière vérification 2026-10-22

L’essentiel en 30 secondes

Quoi

Deux bugs (CVE-2026-109618, CVE-2026-109619) dans le moteur PHP, découverts par des chercheurs de Wiz, OpenAI et Calif.

Pourquoi c’est grave

Aucune connexion requise, exploitable via Internet, et PHP fait tourner une énorme part du web — tout site sur un PHP non corrigé est exposé.

Ce qui corrige

Mettre à jour PHP sur le serveur et le redémarrer. C’est le travail de votre hébergeur, de votre service informatique ou de votre développeur — pas d’une mise à jour WordPress ou d’extension.

Une image

Imaginez votre site comme une boutique et PHP comme l’immeuble qui l’abrite. Verrouiller la porte de la boutique (mots de passe, extensions, mises à jour du site) ne sert à rien si l’immeuble lui-même a une porte de service cassée. PHP2Shell, c’est cette porte cassée — et c’est au propriétaire de l’immeuble (votre hébergeur ou administrateur serveur) de la réparer.

Que dois-je faire ?

Choisissez la ligne qui vous correspond.

J’ai un site web (WordPress, boutique, site associatif…)

Trouvez la version de PHP utilisée par votre site et demandez à votre hébergeur de confirmer qu’elle est corrigée. Mettre à jour WordPress ou les extensions ne règle pas le problème.

Vérifier votre site →

Je dirige une équipe ou une entreprise

Demandez à votre service informatique ou à votre agence : « Tous nos serveurs PHP ont-ils été mis à jour pour CVE-2026-109618 et CVE-2026-109619, puis redémarrés ? » Posez la même question à vos prestataires pour les systèmes qu’ils gèrent pour vous.

Ce que l’informatique doit faire →

J’utilise des services en ligne (RH, paie, boutiques)

En général, rien. Les fournisseurs corrigent leurs propres serveurs. Attendez-vous à de courtes maintenances. Méfiez-vous des e-mails d’hameçonnage qui utilisent cette actualité comme appât.

Qui a coupé ses services →

Je suis journaliste ou je veux simplement comprendre

Le bug se trouve dans PHP lui-même, le correctif est sorti le 21 octobre 2026, et le principal risque vient des serveurs qui ne sont jamais mis à jour.

Le déroulé →

Message pour votre hébergeur ou développeur

e-mail à votre hébergeur

Objet : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — état du correctif

Bonjour,

Pouvez-vous confirmer que l’environnement PHP qui sert mon ou mes site(s)
<domaine> a été mis à jour vers une version corrigeant CVE-2026-109618 et
CVE-2026-109619 (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ou un build éditeur
intégrant le rétroportage), et que les workers PHP-FPM / LSAPI ont ensuite
été redémarrés ?

Si mon compte utilise PHP 8.1 ou plus ancien, vers quelle version corrigée
puis-je migrer ?

Merci et bonne journée

D’où vient le nom

« Shell » est un terme de hacker pour désigner le contrôle d’un ordinateur. Les chercheurs ont appelé leur script d’exploitation combiné php2shell — de PHP à un shell — et le nom est resté pour l’ensemble des travaux. On le voit parfois mal orthographié php4shell, pho2shell ou php2shel, et il n’a rien à voir avec les scripts de webshell « phpshell ».

Vous le comparez à Log4Shell ?

Beaucoup se souviennent de la crise Log4j de 2021. Voici comment PHP2Shell se compare →

Questions

Qu’est-ce que PHP2Shell, en termes simples ?+

Deux failles graves dans PHP, le langage de programmation qui fait tourner la plupart des sites web, dont la plupart des sites WordPress. Un inconnu sur Internet peut s’en servir pour prendre le contrôle d’un serveur web ou lire des secrets dans sa mémoire, sans se connecter.

Qu’est-ce que PHP ?+

PHP est le langage qui s’exécute sur le serveur web et construit les pages d’environ 70 % des sites dont le langage serveur est connu — WordPress, Drupal, Joomla, MediaWiki de Wikipédia, de nombreuses boutiques en ligne et outils internes d’entreprise.

Que signifie RCE (exécution de code à distance) ?+

Cela signifie qu’un attaquant peut faire exécuter à votre serveur les instructions de son choix, depuis n’importe où sur Internet. En pratique, il peut alors voler des données, installer un logiciel malveillant, modifier votre site ou s’en servir pour attaquer d’autres cibles.

PHP2Shell, est-ce la même chose qu’un « shell PHP » ou webshell ?+

Non. Un webshell (souvent appelé phpshell) est un script malveillant qu’un attaquant dépose après être entré. PHP2Shell est le nom de la vulnérabilité — d’après le script d’exploitation php2shell des chercheurs — qui pourrait lui permettre d’en arriver là.

J’utilise seulement un outil SaaS. Dois-je faire quelque chose ?+

En général, non. La correction incombe au fournisseur. Surveillez sa page de statut — certains, comme BambooHR, ont brièvement coupé leur service pour corriger — et ne changez votre mot de passe que s’il vous le demande.