WordPress · PHP2Shell

Mon site WordPress est-il concerné par PHP2Shell ?

Probablement, sauf si votre hébergeur a déjà mis PHP à jour. WordPress faisait partie des cibles de démonstration publiques, mais le bug est dans PHP — ce qui compte est donc la version de PHP de votre serveur, pas votre version de WordPress ni vos extensions.

Dernière vérification 2026-10-22

Mettre à jour WordPress ne corrige pas le problème

PHP2Shell se trouve dans PHP lui-même, sous WordPress. Des chercheurs ont démontré une exécution de code à distance sans authentification sur l’image officielle wordpress:latest. Ce qui compte, c’est la version de PHP de votre serveur, et seul celui qui gère le serveur peut la mettre à jour.

1. Trouver votre version de PHP dans WordPress

Cela affiche le PHP qui sert réellement votre site — c’est celui qui compte.

  1. Connectez-vous à wp-admin et ouvrez Outils → Santé du site.
  2. Passez à l’onglet Infos et dépliez Serveur.
  3. Lisez la Version de PHP (p. ex. « 8.3.6 (Supports 64bit values) »).
  4. Pas d’accès administrateur ? De nombreux tableaux de bord d’hébergement affichent la version de PHP par site.
ligne de commande (affiche le PHP CLI — peut différer du serveur web)
wp eval 'echo PHP_VERSION, PHP_EOL;'   # WP-CLI
php -v

2. Comparer

Collez une version, la sortie de php -v, ou une version par ligne pour tout un parc. Tout s’exécute dans votre navigateur.

Essayez :

La CLI et le serveur web peuvent utiliser des builds PHP différents. Vérifiez la version réellement utilisée par votre serveur web : php-fpm -v (ou php-fpm8.3 -v), ou phpinfo() servi par ce site.

BrancheVulnérableCorrigé dans
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4toutesRétroportage source seulement
5.4 – 7.3toutesAucun correctif

3. Faire corriger

Hébergement mutualisé ou infogéré

Votre hébergeur met PHP à jour. Choisissez la version de PHP la plus récente dans votre panneau, puis demandez-lui de confirmer le correctif et le redémarrage. Guide hébergement →

Votre propre serveur, VPS ou conteneur

Vous (ou votre développeur) mettez PHP à jour et redémarrez PHP-FPM / Apache. Guide de mise à jour →

e-mail à votre hébergeur
Objet : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — état du correctif

Bonjour,

Pouvez-vous confirmer que l’environnement PHP qui sert mon ou mes site(s)
<domaine> a été mis à jour vers une version corrigeant CVE-2026-109618 et
CVE-2026-109619 (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ou un build éditeur
intégrant le rétroportage), et que les workers PHP-FPM / LSAPI ont ensuite
été redémarrés ?

Si mon compte utilise PHP 8.1 ou plus ancien, vers quelle version corrigée
puis-je migrer ?

Merci et bonne journée

Hébergement WordPress infogéré

Les hébergeurs WordPress infogérés (par exemple WP Engine, Kinsta, WordPress.com / Pressable, SiteGround) gèrent PHP pour vous, et la plupart corrigent au niveau de la plateforme sans action de votre part. Automattic faisait partie des partenaires qui ont aidé à préparer les recommandations avant la divulgation.

Nous n’avons pas vérifié l’état de chaque hébergeur. Consultez sa page de statut ou ses annonces, ou envoyez-lui le message ci-dessus.

Extensions et thèmes

Aucune extension ne cause ni ne corrige PHP2Shell. Désactiver des extensions, changer de thème ou durcir wp-config.php ne change rien à votre exposition. Une extension de sécurité s’exécute après que PHP a analysé la requête — c’est déjà trop tard.

4. Après la correction

  • Vérifiez à nouveau la version de PHP dans WordPress — elle doit indiquer une version corrigée (ou faites confirmer un build rétroporté par votre hébergeur).
  • Si le site est resté exposé un moment, changez les mots de passe administrateur et les clés d’API stockés dans sa configuration, et cherchez des administrateurs inconnus ou de nouveaux fichiers PHP. Guide de détection →

Questions

Mon site WordPress est-il concerné par PHP2Shell ?+

S’il tourne sur un PHP antérieur à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (et que l’hébergeur n’a pas installé de paquet corrigé), oui. La version de WordPress, le thème et les extensions n’y changent rien — le bug est dans PHP.

Mettre à jour WordPress corrige-t-il PHP2Shell ?+

Non. Les mises à jour de WordPress modifient l’application, pas l’environnement PHP en dessous. Gardez WordPress à jour malgré tout, mais la correction est une mise à jour de PHP par celui qui gère votre serveur.

Un attaquant a-t-il besoin d’un compte administrateur ?+

Non. Les attaques démontrées fonctionnent avant authentification : pas de connexion, pas d’extension ou de module particulier, seulement des requêtes HTTP vers le site.

Les mises à jour automatiques de WordPress installent-elles le correctif PHP ?+

Non. Les mises à jour automatiques du cœur et des extensions WordPress ne touchent jamais à l’environnement PHP. PHP est mis à jour par votre hébergeur ou votre administrateur serveur.

Une extension de sécurité comme Wordfence me protège-t-elle ?+

Les extensions de sécurité s’exécutent dans WordPress, après que PHP a déjà analysé la requête — trop tard pour ce bug. Elles ne peuvent pas arrêter PHP2Shell. Un WAF devant le site (p. ex. Cloudflare) aide davantage, mais la correction reste une mise à jour de PHP.

J’utilise WooCommerce. Est-ce plus grave ?+

Le risque est le même, mais l’enjeu est plus élevé : la divulgation de mémoire peut exposer les sessions clients, les cookies d’administration et les clés d’API des prestataires de paiement présentes dans la mémoire de PHP. Renouvelez les clés de paiement si vous soupçonnez une exposition.

Voir aussi