Faille PHP « php2shell » : pourquoi il faut mettre à jour votre serveur

Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux vulnérabilités critiques, surnommées « php2shell ». Elles permettent à un attaquant d'exécuter du code à distance sur un serveur qui traite des requêtes web en PHP, sans authentification. Deux semaines plus tard, elles sont activement exploitées : si votre site tourne sur PHP, c'est le moment de vérifier la version installée.

Ce qui est concerné

• CVE-2026-109618 et CVE-2026-109619 : exécution de code à distance, score de gravité de 9,2 sur 10. Des preuves de concept existent et le CERT-FR a observé des tentatives d'exploitation.
• CVE-2026-115560, divulguée le 23 octobre : jugée peu probable à exploiter (elle exige une combinaison particulière de configuration et de code applicatif), avec un correctif prévu au prochain cycle de versions.

Toutes les façons de servir du PHP sont concernées (Apache avec mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed). Le problème est dans PHP lui-même : mettre à jour WordPress ou une extension ne change rien.

Les versions corrigées

• PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (et plus récentes).
• Les branches 5.x, 7.x, 8.0 et 8.1 ne sont plus maintenues et restent vulnérables : la seule solution est de passer à une version supportée.

Que faire, dans l'ordre

1. Connaître sa version de PHP : tableau de bord de l'hébergeur, outil de diagnostic du CMS ou php -v en ligne de commande.
2. Mettre à jour PHP vers une version corrigée, puis redémarrer les services PHP (PHP-FPM, Apache). Sur un hébergement mutualisé, c'est le plus souvent un réglage à changer chez l'hébergeur.
3. Tester le site après la bascule : formulaires, espace client, extensions. Un site sur une très vieille version de PHP peut exiger quelques adaptations.
4. Si la mise à jour est impossible tout de suite, appliquer les contournements proposés par PHP : pour la première faille, un post_max_size bas et une limite de mémoire cadrée ; pour la seconde, désactiver session.upload_progress.enabled et redémarrer les processus. Ce sont des palliatifs, pas une solution.
5. Ne pas oublier les logiciels qui embarquent PHP (outils d'administration, applications packagées).

Notre lecture

Cette alerte rappelle qu'un site n'est pas « fini » une fois en ligne : le socle technique vieillit. Un site sur PHP 7 ou 8.1, comme on en croise encore souvent, n'a plus aucun correctif de sécurité. Chez SAEZAM, nous suivons la version de PHP des sites que nous hébergeons ou maintenons. Si vous n'êtes pas certain de la vôtre, contactez-nous : un contrôle prend quelques minutes, et si votre application est trop ancienne pour être mise à jour proprement, c'est le bon moment de parler de refonte.

Sources

• CERT-FR : alerte CERTFR-2026-ALE-014, multiples vulnérabilités dans PHP
• CISA : Critical Vulnerabilities in PHP Require Immediate Patching
• OVHcloud : protéger ses serveurs Bare Metal et VPS