PHP2Shell : comment vérifier et mettre à jour la version PHP de votre site Web

PHP2Shell : comment vérifier et mettre à jour la version PHP de votre site web

Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles critiques, surnommées PHP2Shell, qui pourraient permettre à un attaquant d'exécuter son propre code sur un serveur web sans se connecter. PHP fait fonctionner environ 70 % des sites web, selon W3Techs, y compris tous les sites WordPress, ce qui concerne donc une très grande partie du web.

La solution passe par une version plus récente de PHP, et non par une mise à jour de WordPress ou d'un plugin. Ce guide explique simplement comment vérifier la version PHP utilisée par votre site web et quels sont les moyens les plus simples de la mettre à jour.

Vérifiez la version PHP de votre site Web

Table des matières :

• Introduction
• Qu'est-ce que PHP2Shell ?
• Quelles versions de PHP sont corrigées
• Méthode 1 : vérifier votre version PHP avec PCrisk Website Scanner
• Méthode 2 : vérifier votre version PHP dans WordPress
• Méthode 3 : consulter le panneau de contrôle de votre hébergement
• Méthode 4 : demander à votre hébergeur
• Comment mettre à jour PHP
• Si vous ne pouvez pas mettre à jour immédiatement
• En conclusion
• Foire aux questions (FAQ)

Qu'est-ce que PHP2Shell ?

PHP est le langage de programmation utilisé pour construire les pages de la plupart des sites web, des blogs WordPress aux boutiques en ligne. PHP2Shell est le nom donné par les chercheurs à une attaque qui combine deux failles PHP récemment découvertes, CVE-2026-109618 et CVE-2026-109619. Elles ont été découvertes par des chercheurs de Calif, Wiz et OpenAI, et signalées au projet PHP en août.

Dans son avis de sécurité, le projet PHP indique que ces failles « peuvent permettre l'exécution de code à distance sans authentification ». En termes simples, un inconnu peut envoyer une requête spécialement conçue à votre site web et, dans le pire des cas, prendre le contrôle du serveur qui l'héberge. Le problème se situe dans PHP lui-même, avant même l'exécution du moindre code WordPress, plugin ou thème.

Quelques points à savoir :

• Presque tous les sites web qui utilisent PHP sont concernés, quelle que soit la configuration de l'hébergement. PHP estime que le risque est le plus élevé sur les serveurs qui exécutent PHP au sein d'Apache (mod_php).
• Les attaques ont commencé immédiatement. Amazon a enregistré sa première tentative le 17 octobre, avant l'annonce, et le PDG de Cloudflare a évoqué des millions de tentatives dans les heures qui ont suivi l'annonce. Au 22 octobre, aucune intrusion réussie n'avait été publiquement confirmée.
• La mise à jour de WordPress, des plugins ou des thèmes ne corrige pas le problème. Seule une version mise à jour de PHP le fait.

[Retour à la Table des Matières]

Quelles versions de PHP sont corrigées

Les versions de PHP sont regroupées en familles, appelées branches, comme 8.3. Chaque branche reçoit de petites mises à jour identifiées par un troisième numéro, comme 8.3.35 et 8.3.36. Le correctif a été intégré à la dernière version de chaque branche prise en charge :

Ces dates proviennent de la page des versions PHP prises en charge. WordPress recommande PHP 8.3 ou une version plus récente, mais environ un tiers des sites WordPress utilisent encore PHP 8.1 ou une version antérieure, selon les statistiques de WordPress.org.

Deux exceptions méritent d'être connues avant de vérifier votre propre site :

• Certains hébergeurs corrigent PHP sans changer le numéro de version. Ubuntu, Plesk, cPanel, CloudLinux et plusieurs sociétés d'hébergement ont publié des versions corrigées qui conservent l'ancien numéro de version, y compris des correctifs pour PHP 7.4, 8.0 et 8.1. Si votre numéro n'a pas changé, c'est l'annonce de votre hébergeur qui fait foi.
• Une ancienne branche reste risquée, même corrigée. PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs de sécurité officiels, de sorte que la prochaine faille pourrait ne jamais être corrigée. Prévoyez une migration vers PHP 8.3 ou 8.4.

[Retour à la Table des Matières]

Méthode 1 : vérifier votre version PHP avec PCrisk Website Scanner

C'est la méthode la plus rapide, et elle ne nécessite aucune connexion. Le PCrisk Website Scanner gratuit lit la version PHP que votre site web communique à chaque visiteur et la compare aux dernières versions publiées.

1. Ouvrez scanner.pcrisk.com et saisissez l'adresse de votre site web, par exemple votre-site.com.

2. Lancez l'analyse et attendez le rapport. Cela prend généralement une minute ou deux.

3. Repérez la ligne PHP Version sous les vignettes d'information. Cliquez sur « Details » pour afficher la version signalée, la branche, sa date de fin de prise en charge et la dernière version publiée.

La ligne affiche l'un des résultats suivants :

• Up to date (à jour) : le site signale la dernière version de sa branche.
• Update available (mise à jour disponible) : une version plus récente existe. Dans l'exemple ci-dessus, le site signale la version 8.3.35, soit une version de retard sur la version corrigée 8.3.36.
• Support ends soon (fin de prise en charge prochaine) ou End of life (fin de vie) : la branche va cesser, ou a cessé, de recevoir des correctifs de sécurité.
• Version hidden (version masquée) : le site utilise PHP mais n'indique pas quelle version. La plupart des sites web la masquent, ce qui est une bonne pratique ; utilisez alors la méthode 2, 3 ou 4.

Le scanner lit la version signalée par votre serveur. Il n'attaque pas votre site et ne teste pas s'il peut être exploité. La même analyse vérifie également votre site web auprès de plus de 90 moteurs de sécurité et 10 bases de données de menaces.

Autres outils de vérification en ligne gratuits. Deux sociétés de sécurité ont également lancé des vérifications PHP2Shell gratuites :

Vérification PHP2Shell de Brandefense : lit la version PHP signalée par votre site, comme le scanner PCrisk, et vous indique si elle fait partie des versions concernées. Il vous avertit également lorsqu'un service tel que Cloudflare risque de masquer la version.

Outil de vérification PHP2Shell d'Aikido : au lieu de lire la version, il envoie des requêtes de test à votre site et mesure la façon dont PHP y répond. Utilisez-le uniquement sur votre propre site web et laissez désactivée sa « vérification définitive » optionnelle sur un site en production, car elle peut faire planter un processus PHP.

Toute vérification externe a ses limites. Un outil qui lit la version ne peut pas détecter un correctif ajouté par votre hébergeur sans changement de numéro, et Aikido précise que son test de temporisation ne permet pas, à lui seul, de distinguer un PHP corrigé d'un PHP vulnérable. Considérez tout résultat comme un point de départ et confirmez-le avec la méthode 2, 3 ou 4.

[Retour à la Table des Matières]

Méthode 2 : vérifier votre version PHP dans WordPress

WordPress affiche la version PHP exacte utilisée par votre site web, même lorsqu'elle est masquée aux visiteurs.

1. Connectez-vous à votre tableau de bord WordPress et rendez-vous dans Outils, puis Santé du site.

2. Ouvrez l'onglet Infos et développez la section Serveur.

3. Consultez la ligne Version de PHP. Dans l'exemple ci-dessous, le site utilise la version 8.3.33 ; il a donc besoin de la mise à jour 8.3.36.

Ne vous fiez pas aux coches vertes de l'onglet État. La Santé du site qualifie toute version PHP 8.3 ou plus récente de « version recommandée de PHP », même lorsqu'il lui manque le correctif PHP2Shell, comme dans ce même exemple :

Il en va de même pour le tableau de bord. WordPress n'affiche un encadré « Mise à jour de PHP requise » que pour PHP 8.0 et les versions antérieures, comme la version 7.4 ci-dessous. L'absence d'encadré ne signifie pas que vous êtes à jour.

Les autres outils de création de sites disposent d'une page similaire : dans Joomla, ouvrez « Système », puis « Informations système ». Dans Drupal, ouvrez « Rapports », puis « Rapport d'état ». Les boutiques WooCommerce peuvent également consulter la version PHP sous « WooCommerce », « État ».

[Retour à la Table des Matières]

Méthode 3 : consulter le panneau de contrôle de votre hébergement

Votre panneau d'hébergement indique quelle branche PHP votre site utilise, et c'est également là que vous pouvez la modifier. Dans cPanel, ouvrez « MultiPHP Manager » (ou Select PHP Version chez de nombreux hébergeurs à bas prix). Dans Plesk, ouvrez « Sites Web & Domaines », puis « PHP ». Les hébergeurs disposant de leurs propres panneaux, comme Hostinger, SiteGround, GoDaddy et Kinsta, proposent une page PHP dans les paramètres du site (voir le tableau dans la section sur la mise à jour ci-dessous).

La plupart des panneaux n'affichent que la branche, par exemple « PHP 8.3 », et non le numéro complet. Plesk et le PHP Manager de SiteGround affichent le numéro complet, et Hostinger et Bluehost disposent d'une page PHP Info distincte qui l'indique. Les petites mises à jour de sécurité au sein d'une branche sont installées par l'hébergeur ; vérifiez donc le numéro complet ou interrogez votre hébergeur avant de considérer que le correctif PHP2Shell est en place.

Si vous gérez votre propre serveur (un VPS ou un serveur dédié), vous ou votre développeur pouvez vérifier la version directement sur le serveur. Gardez à l'esprit que le PHP en ligne de commande peut différer de celui qui sert votre site web, et ne laissez jamais en ligne une page temporaire qui affiche les paramètres PHP.

[Retour à la Table des Matières]

Méthode 4 : demander à votre hébergeur

C'est la réponse la plus fiable, car seul votre hébergeur sait quelle version il a installée. La plupart des grands hébergeurs ont publié une mise à jour concernant PHP2Shell sur leur blog ou leur page d'état les 21 ou 22 octobre ; commencez donc par vérifier à cet endroit. Si vous ne trouvez rien, envoyez au support un court message comme celui-ci :

« Le PHP de mon compte d'hébergement a-t-il été mis à jour pour CVE-2026-109618 et CVE-2026-109619 (PHP2Shell) ? Quelle version et quel build de PHP est-ce que j'utilise, et PHP a-t-il été redémarré après la mise à jour ? S'il n'a pas encore été mis à jour, quand le sera-t-il ? »

[Retour à la Table des Matières]

Comment mettre à jour PHP

Il existe deux types de mise à jour de PHP, et la personne qui s'en charge dépend de votre hébergement.

Une mise à jour de sécurité au sein de votre branche (par exemple de 8.3.35 à 8.3.36) est installée par l'hébergeur sur les hébergements mutualisés et infogérés. Aucun bouton n'est prévu pour cela, et elle ne casse presque jamais un site. Voici ce qu'avaient déclaré les principaux hébergeurs au 22 octobre 2026 :

Une migration vers une branche plus récente (par exemple de 7.4 ou 8.1 vers 8.3) est une opération que vous effectuez vous-même dans le panneau d'hébergement. Faites-le dès maintenant si votre site utilise PHP 8.2 ou une version antérieure : les versions 8.1 et antérieures ne sont plus prises en charge, et la prise en charge de la version 8.2 prend fin le 31 décembre 2026. Choisissez PHP 8.3 ou 8.4.

1. Effectuez une sauvegarde complète de vos fichiers et de votre base de données, à l'aide de l'outil de sauvegarde de votre hébergeur ou d'un plugin de sauvegarde.

2. Mettez d'abord à jour WordPress, vos plugins et votre thème. Les plugins obsolètes sont la cause la plus fréquente de dysfonctionnement d'un site après un changement de version PHP.

3. Faites un essai sur une copie de préproduction si votre hébergeur en propose une (c'est le cas de Kinsta, WP Engine, Cloudways, SiteGround, WordPress.com et d'autres).

4. Modifiez la version PHP dans votre panneau d'hébergement :

5. Vérifiez immédiatement votre site. Ouvrez la page d'accueil et quelques pages internes, connectez-vous au tableau de bord, envoyez un message de test via votre formulaire de contact et, si vous gérez une boutique, ajoutez un produit au panier et avancez le plus loin possible dans le processus de commande.

6. En cas de problème, revenez à la version précédente au même endroit et demandez une mise à jour au développeur du plugin ou du thème. WordPress envoie également par e-mail un lien de récupération à l'administrateur du site si un plugin plante après le changement. Chez Hostinger, le retour à une version antérieure n'est possible que pendant la même session de connexion ; effectuez donc vos tests sans attendre.

Si vous gérez votre propre serveur, installez les mises à jour de sécurité de PHP fournies par votre système d'exploitation, puis redémarrez PHP et le serveur web. Tant qu'ils ne sont pas redémarrés, l'ancienne version vulnérable de PHP continue de fonctionner. Ubuntu, Debian, Red Hat, cPanel, Plesk et CloudLinux ont tous publié des paquets corrigés les 21 ou 22 octobre.

[Retour à la Table des Matières]

Si vous ne pouvez pas mettre à jour immédiatement

Une mise à jour est la seule solution complète, mais les mesures suivantes réduisent le risque en attendant :

• Utilisez un pare-feu d'application web. Cloudflare a activé automatiquement des règles PHP2Shell pour toutes les offres incluant son pare-feu, y compris l'offre gratuite (article de Cloudflare). Sur les offres payantes, vérifiez que le Cloudflare Managed Ruleset est déployé ; si le tableau de bord affiche un avertissement php2shell, cliquez sur Deploy Cloudflare Managed Ruleset. De nombreux hébergeurs ont ajouté des règles similaires sur leurs propres serveurs.
• Demandez à votre hébergeur d'appliquer les paramètres temporaires mentionnés dans l'avis de PHP, comme la désactivation du suivi de progression des téléversements de session et la réduction de la taille maximale des téléversements. Ils doivent être définis sur le serveur ; c'est donc à votre hébergeur de s'en charger.
• Mettez le site hors ligne s'il utilise PHP 8.1 ou une version antérieure et que votre hébergeur ne peut ni le corriger ni le mettre à niveau.

Évitez les plugins ou les extraits de code qui promettent de « corriger PHP2Shell ». La faille se trouve dans PHP lui-même ; un plugin WordPress ne peut donc pas la corriger.

[Retour à la Table des Matières]

En conclusion

PHP2Shell est une menace sérieuse, car elle touche un très grand nombre de sites web simultanément, mais pour la plupart des propriétaires de sites, la solution est simple : assurez-vous que votre hébergeur a installé la version mise à jour de PHP, et passez à PHP 8.3 ou 8.4 si vous utilisez encore une ancienne branche. La vérification ne prend que quelques minutes, et vous pouvez commencer par une analyse gratuite avec PCrisk.

Analysez votre site Web avec PCrisk Website Scanner

[Retour à la Table des Matières]

Foire aux questions (FAQ)

Mon site WordPress est-il concerné par PHP2Shell ?

Oui, si votre site utilise une version de PHP antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 et que votre hébergeur n'a pas installé de version corrigée. La vulnérabilité se trouve dans PHP ; elle affecte donc de la même manière WordPress, Joomla, Drupal, WooCommerce et tout autre logiciel PHP.

La mise à jour de WordPress ou de mes plugins corrige-t-elle PHP2Shell ?

Non. PHP2Shell doit être corrigé en appliquant un correctif à PHP sur le serveur. La mise à jour de WordPress, des plugins ou des thèmes ne met pas à jour le logiciel PHP sous-jacent qui fait fonctionner votre site web. Votre hébergeur ou l'administrateur de votre serveur doit installer une version corrigée de PHP ou une version corrigée par l'éditeur, et confirmer que votre site l'utilise.

Le numéro de ma version PHP n'a pas changé. Suis-je toujours exposé ?

Pas nécessairement. Ubuntu, Plesk, cPanel, CloudLinux et certains hébergeurs ont corrigé PHP sans modifier le numéro de version. Consultez l'annonce de votre hébergeur ou demandez au support si votre version inclut le correctif.

Le rapport PCrisk indique « Version hidden ». Qu'est-ce que cela signifie ?

Votre site utilise PHP mais ne révèle pas sa version aux visiteurs, ce qui est une bonne pratique. Cela ne vous indique pas si le site est corrigé ; pour obtenir cette information, vérifiez la version dans la Santé du site de WordPress ou dans votre panneau d'hébergement, ou interrogez votre hébergeur.

Quelle version de PHP dois-je choisir ?

PHP 8.3 ou 8.4. Les deux sont prises en charge pour plusieurs années et recommandées par WordPress et WooCommerce. Évitez la version 8.2, qui cessera de recevoir des mises à jour de sécurité le 31 décembre 2026.

Le changement de version PHP risque-t-il de casser mon site web ?

Une mise à jour de sécurité au sein de votre branche ne pose presque jamais de problème. Le passage à une branche plus récente peut casser des plugins ou des thèmes obsolètes ; effectuez donc d'abord une sauvegarde, mettez tout à jour, testez sur un environnement de préproduction si possible et revenez à la version précédente en cas de problème.

[Haut de la page]