Cette semaine, une partie du web a vacillé : des milliers de sites, dont des portails d'administrations françaises, ont affiché des pages de maintenance ou sont devenus inaccessibles. La cause : deux failles critiques dans PHP, le langage qui fait tourner près de 7 sites sur 10 dans le monde. Elles ont un nom de code, PHP2Shell, et un score de gravité de 9,2 sur 10.

Bonne nouvelle : des correctifs existent déjà. Mauvaise nouvelle : si ton site tourne sur une vieille version de PHP, il reste exposé. Voici comment vérifier ta version et passer à une version corrigée, sans casser ton site.

C'est quoi PHP2Shell, en langage simple

PHP, c'est le moteur invisible derrière WordPress, PrestaShop, Joomla et des millions de sites. Les failles CVE-2026-109618 et CVE-2026-109619 touchent le moteur lui-même : un pirate peut envoyer une requête spécialement conçue à ton site et prendre le contrôle du serveur, sans même avoir besoin d'un mot de passe.

Le plus inquiétant : même un site parfaitement codé et à jour était vulnérable, parce que la faille se situe dans la façon dont PHP interprète les données reçues, avant même que le code du site ne s'exécute.

Le point important : ces failles ont été repérées par des systèmes d'intelligence artificielle (la société Calif avec un modèle récent d'OpenAI, et Wiz, filiale de Google). Les pirates disposent des mêmes outils : les attaques peuvent donc se multiplier très vite. Ne traîne pas.

L'équipe de PHP a publié en urgence des versions corrigées le mercredi 21 octobre 2026 : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Si ta version est inférieure à ces numéros, tu dois agir.

Es-tu concerné ? Vérifie ta version de PHP en 2 minutes

Pas besoin d'être développeur. Trois méthodes, de la plus simple à la plus technique :

1. Depuis WordPress (le plus simple). Va dans Outils > Santé du site > Infos, puis déplie la section Serveur. La ligne « Version de PHP » te donne le numéro exact.

2. Depuis ton panneau d'hébergement. Sur cPanel, cherche « Sélecteur PHP » ou « Version PHP » : la version active s'affiche en haut. Chez OVH, c'est dans l'espace client, rubrique Web Cloud > Hébergements > ton domaine > Modifier la configuration.

3. Avec un petit fichier de test. Crée un fichier info.php contenant <?php phpinfo(); ?>, envoie-le à la racine de ton site via FTP, ouvre tonsite.fr/info.php dans ton navigateur… puis supprime le fichier immédiatement : il révèle des infos sensibles sur ton serveur.

Le petit réflexe hunter : note ta version actuelle quelque part avant de toucher à quoi que ce soit. Si la mise à jour casse quelque chose, tu sauras revenir en arrière.

Comment interpréter le résultat : si tu es en 8.2.x sous 8.2.35, en 8.3.x sous 8.3.36, en 8.4.x sous 8.4.27 ou en 8.5.x sous 8.5.12 → tu es vulnérable. Si tu es en 8.1 ou plus ancien → c'est pire : ces branches ne reçoivent plus de correctifs de sécurité, il faut migrer vers une branche maintenue.

Passer à une version corrigée, étape par étape

Étape 1 — Sauvegarde tout. Fichiers + base de données. C'est non négociable avant toute manipulation. Notre méthode simple est décrite ici : sauvegarder son site WordPress avant une mise à jour.

Étape 2 — Mets à jour WordPress, le thème et les extensions. Une vieille extension peut ne pas supporter PHP 8.3 ou 8.4. Fais les mises à jour d'abord, teste ton site.

Étape 3 — Change la version PHP. Dans le sélecteur PHP de ton hébergeur, passe à la version corrigée la plus proche de ta branche actuelle (par exemple 8.2.30 → 8.3.36, ou reste en 8.2.35 si tu préfères le changement minimal). Le changement prend effet en quelques secondes à quelques minutes.

Étape 4 — Teste ton site de fond en comble. Page d'accueil, formulaires de contact, panier si tu vends en ligne, espace membre. Si tu vois une page blanche après la mise à jour, c'est souvent une extension incompatible : reviens à l'ancienne version PHP, mets l'extension à jour, puis recommence.

Étape 5 — Surveille 48 h. Jette un œil aux logs d'erreurs de ton hébergeur et vérifie que les sauvegardes automatiques tournent toujours.

Notre reco : si tu es encore en PHP 8.1 ou 7.4 « parce que ça marche », c'est le moment de migrer. Chaque mois de décembre, une branche PHP arrive en fin de vie et ne reçoit plus aucun correctif. Rester sur une version abandonnée, c'est laisser la porte ouverte.

Ton hébergeur a déjà tout fait ? Vérifie quand même

Sur les hébergements mutualisés, beaucoup d'hébergeurs ont appliqué les correctifs eux-mêmes dans les heures qui ont suivi l'alerte. Mais :

— Certains n'ont patché que les versions récentes et laissent les vieilles branches à l'abandon.
— Sur un VPS ou un serveur dédié, personne ne le fera à ta place : c'est à toi de mettre à jour.
— Même si l'hébergeur a patché, vérifie la version affichée : un patch ne change pas toujours le numéro de version, mais ton panneau doit indiquer une version corrigée.

En cas de doute, ouvre un ticket au support avec une phrase simple : « Mon site est-il sur une version de PHP corrigée contre CVE-2026-109618 et CVE-2026-109619 ? »

Ton site est tombé ? La marche à suivre

Si ton site affiche une page de maintenance ou une erreur depuis cette semaine :

1. Ne panique pas et ne supprime rien. Si ton hébergeur a coupé ton site par précaution (comme l'ont fait plusieurs ministères et collectivités), il reviendra après le patch.

2. Vérifie ta version PHP avec les méthodes ci-dessus.

3. Si tu es bloqué en « mode maintenance » après une mise à jour, voici comment le réparer en 5 minutes.

4. En cas de doute sur une compromission (fichiers modifiés que tu ne reconnais pas, redirections étranges), restaure ta dernière sauvegarde saine AVANT de mettre à jour PHP, puis change tous les mots de passe (admin, FTP, base de données).

Quand demander de l'aide : si ton site génère des revenus ou contient des données clients et que tu ne sais pas interpréter les logs, fais appel à ton hébergeur ou à un prestataire. Une faille de cette gravité n'est pas le moment d'improviser.

Mon site est un simple blog WordPress, suis-je vraiment concerné ?

Oui. La faille touche PHP lui-même, pas ton thème ni tes extensions. Même un petit blog peut servir de relais à un pirate pour attaquer d'autres sites.

Mettre à jour PHP va-t-il casser mon site ?

Si tu restes dans la même branche mineure (par exemple 8.3.30 → 8.3.36), le risque est quasi nul. Le risque apparaît quand tu changes de branche majeure (7.4 → 8.3) : d'où l'importance de la sauvegarde et des tests.

Mon hébergeur dit que tout est à jour, dois-je le croire ?

Vérifie par toi-même avec la méthode WordPress ou le fichier info.php. Ça prend deux minutes et ça lève le doute.

Je suis en PHP 7.4, que faire ?

PHP 7.4 ne reçoit plus de correctifs depuis longtemps : il n'y a pas de version 7.4 corrigée contre PHP2Shell. Il faut migrer vers PHP 8.2 minimum, après avoir mis à jour WordPress, ton thème et tes extensions.

C'est quoi le rapport avec l'intelligence artificielle ?

Les failles ont été découvertes par des IA entraînées à fouiller du code à la recherche de vulnérabilités. C'est une bonne nouvelle pour la défense… mais les attaquants utilisent les mêmes outils, donc les failles de ce type seront trouvées et exploitées de plus en plus vite.