Faille PHP2Shell : votre site WordPress est-il en danger ?
Hier, le 21/10/2026, l’équipe de PHP a publié en urgence des correctifs pour deux failles critiques, surnommées « PHP2Shell ». Si votre site tourne sous WordPress, Joomla, Drupal ou PrestaShop, il repose sur PHP et vous êtes potentiellement concerné. Voici ce qu’il faut savoir, sans jargon, et surtout ce que vous pouvez faire aujourd’hui.
Ce qui s’est passé
PHP est le langage qui fait fonctionner la grande majorité des sites vitrines et boutiques en ligne des petites entreprises. Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur 10 en gravité. Concrètement, elles peuvent permettre à un pirate d’exécuter son propre code sur le serveur de votre site, sans avoir besoin d’identifiant ni de mot de passe.
Le calendrier aggrave la situation. Les détails ont fuité en ligne avant la date de publication prévue, ce qui a obligé l’équipe PHP à avancer la sortie des correctifs d’une journée. D’après Amazon, des tentatives d’exploitation avaient déjà été repérées le 17/10, et Cloudflare indique observer les premières attaques depuis hier. Les chercheurs à l’origine de la découverte affirment avoir réussi à prendre le contrôle de certaines versions de WordPress, Drupal, Joomla et Magento.
Suis-je concerné ?
La réponse dépend de la technologie de votre site et de la version de PHP installée sur votre serveur.
Votre site est concerné si :
- il fonctionne avec WordPress, WooCommerce, PrestaShop, Joomla ou un autre CMS écrit en PHP ;
- il est hébergé sur un serveur dont la version de PHP n’a pas été mise à jour depuis hier ;
- il tourne sur une ancienne version de PHP (8.1 ou antérieure), qui ne recevra aucun correctif officiel.
Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Tout ce qui est plus ancien reste vulnérable.
Les plus exposés sont les sites créés il y a cinq ou six ans, puis laissés sans suivi, qui tournent encore sur PHP 7.4 ou 8.0. Pour eux, aucune mise à jour simple ne viendra combler la faille : il faudra migrer vers une version récente.
Ce que vous devez faire dès aujourd’hui
1. Contacter votre hébergeur ou votre prestataire
Sur un hébergement mutualisé, ce n’est pas vous qui gérez PHP mais votre hébergeur. Écrivez-lui aujourd’hui et posez-lui deux questions précises : « Quelle version de PHP fait tourner mon site ? » et « Avez-vous appliqué les correctifs de PHP du 21 octobre ? ». Si une agence s’occupe de votre site, adressez-lui les mêmes questions.
2. Faire une sauvegarde complète
Avant toute intervention, exportez les fichiers et la base de données de votre site. Si quelque chose tourne mal pendant une mise à jour, ou si le site a déjà été compromis, vous aurez un point de retour.
3. Mettre à jour PHP, puis votre CMS et vos extensions
La plupart des hébergeurs permettent de changer de version de PHP depuis l’espace client. Passer à une version corrigée est la seule protection complète. Attention toutefois : un vieux thème ou une extension abandonnée peut ne pas supporter une version récente et faire planter le site. C’est exactement le genre de problème que je décrivais dans mon article sur les limites de WordPress pour les petites entreprises.
4. Surveiller les signes d’intrusion
Dans les jours qui viennent, restez attentif : nouvel utilisateur administrateur que vous n’avez pas créé, pages inconnues indexées sur Google, redirections vers des sites douteux, alertes de votre antivirus ou de Google Search Console. Au moindre doute, faites vérifier votre site par un professionnel.
Pourquoi nos sites ne sont pas concernés
Les sites que nous créons chez Montagne Noire Web Studio sont développés sur mesure avec Astro et publiés sous forme de fichiers statiques. Il n’y a pas de PHP sur le serveur, pas de base de données exposée et pas d’extensions tierces à surveiller. Une faille comme PHP2Shell n’a tout simplement aucune prise sur eux.
Ce n’est pas une garantie absolue contre tous les risques (aucun site ne l’est), mais la surface d’attaque est sans commune mesure avec celle d’un WordPress classique. Si vous voulez comprendre la différence en détail, j’ai écrit un article sur les sites codés à la main face aux constructeurs de sites.
En résumé
PHP2Shell est l’une des failles les plus sérieuses de ces dernières années pour les sites des petites entreprises. Si votre site tourne sous WordPress ou un autre CMS en PHP, contactez votre hébergeur aujourd’hui, faites une sauvegarde et assurez-vous que la mise à jour est appliquée. Plus votre version de PHP est ancienne, plus il est urgent d’agir.
Vous ne savez pas par où commencer, ou votre site n’a plus de prestataire pour s’en occuper ? Demandez un audit gratuit de votre site : je vérifie sa technologie et vous propose un plan de migration pour sécuriser votre présence en ligne.
