Deux failles critiques de PHP appellent à vérifier rapidement votre hébergement Web. Voici les points à connaître et les démarches à confier à votre hébergeur.
Informations vérifiées le 23 octobre 2026.
Qu’est-ce que PHP2Shell ?
PHP2Shell regroupe deux vulnérabilités du moteur PHP, identifiées comme CVE-2026-109618 et CVE-2026-109619. Selon la configuration et le chemin d’exploitation, un attaquant sans compte utilisateur peut exécuter du code ou lire des données sensibles présentes en mémoire. Les chercheurs ont démontré des attaques sur plusieurs plateformes, dont WordPress et Drupal. Cela ne signifie pas que tous les sites utilisant PHP ont été compromis. Consulter les explications des chercheurs.
Une mise à jour de WordPress ne suffit pas
Le composant concerné se trouve sur le serveur : mettre à jour le CMS, le thème ou les extensions ne remplace pas la mise à jour de PHP. Il faut vérifier chaque environnement qui exécute le site et redémarrer les services concernés après correction. Un pare-feu applicatif peut réduire certains risques, mais ne remplace pas les correctifs. Source : PHP2Shell.
Les versions corrigées
Le 21 octobre 2026, l’équipe PHP a publié PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 pour corriger ces deux failles. Votre fournisseur peut aussi proposer un paquet avec des correctifs rétroportés : demandez-lui une confirmation explicite. Lire l’avis officiel PHP.
Quatre actions pour les propriétaires de sites
- Demandez à votre hébergeur quelle version de PHP sert réellement votre site.
- Faites confirmer l’installation des correctifs pour les deux CVE.
- Faites redémarrer les processus concernés, puis vérifiez les formulaires et les téléversements.
- Conservez une sauvegarde récente et faites examiner toute activité inhabituelle.
Mise à jour du 23 octobre : une vérification supplémentaire
Un avis complémentaire concerne une combinaison rare de réglages et de code modifiant le gestionnaire de sérialisation des sessions pendant l’exécution. PHP recommande de désactiver temporairement session.upload_progress.enabled jusqu’à la prochaine version corrective. Les applications qui ne changent jamais ce gestionnaire à l’exécution peuvent conserver cette fonction. Confiez cette vérification à votre administrateur. Lire l’avis du 23 octobre.
À retenir : faites vérifier PHP auprès de votre hébergeur, même si votre site semble fonctionner normalement.
PHP2Shell dans l’actualité québécoise
Après la SAQ, la STM et la SAAQ : ce que les entreprises québécoises doivent savoir.
