Deux failles critiques dans PHP, surnommées php2shell, menacent une grande partie des sites web, des boutiques bordelaises aux sites d’associations. L’équipe de PHP a publié un correctif d’urgence le mercredi 21 octobre 2026, et les premières attaques ont déjà été repérées. Que tu gères un site ou que tu te contentes d’en utiliser, voici ce qui se passe et ce qu’il faut faire.
Faille PHP : ce qui s’est passé le 21 octobre
PHP est le langage de programmation qui fait tourner WordPress, Drupal, Joomla et des millions d’autres sites. Le 20 octobre, son équipe de sécurité a annoncé une mise à jour exceptionnelle pour corriger deux failles notées 9,2 sur 10 en gravité. Des détails ont fuité en ligne avant sa sortie. Le correctif a été publié le 21 octobre, en milieu de journée.
Le CERT-FR, le centre d’alerte de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié un avis le jour même. Son équivalent européen, le CERT-EU, recommande de mettre à jour « immédiatement ».
Pourquoi ces failles sont si graves
Selon le CERT-EU, ces failles permettent à un pirate d’exécuter du code sur un serveur à distance, sans avoir besoin du moindre mot de passe. Concrètement, il peut prendre le contrôle du serveur, voler des données ou modifier le site.
Le problème se trouve dans PHP lui-même, et pas dans WordPress ou dans un plugin. Les chercheurs de Wiz, qui ont découvert ces failles, précisent qu’un simple site « Hello World » peut être vulnérable. Garder WordPress à jour ne suffit donc pas. Ils indiquent aussi qu’un pirate peut lire une partie de la mémoire du serveur, où peuvent traîner des mots de passe et des clés d’accès.
Des attaques déjà en cours
Les pirates n’ont pas attendu. Amazon indique avoir repéré une tentative d’attaque dès le 17 octobre, soit quatre jours avant l’annonce officielle, puis une vague d’autres tentatives le 21 octobre. La société watchTowr et Cloudflare ont aussi observé des attaques, selon Tenable.
Combien de sites sont exposés ? Un chercheur cité par Tenable estime que plus de 1,3 million de serveurs accessibles depuis Internet pourraient être vulnérables. Un autre avance le chiffre de 1,9 million. Ce sont des estimations, mais elles donnent l’ordre de grandeur.
Tu as un site web : la mise à jour de PHP avant tout
Commerçant, restaurateur, artisan, association : si ton site tourne sous WordPress ou un autre outil en PHP, c’est le moment de vérifier. Seule une nouvelle version de PHP règle le problème.
- Regarde ta version de PHP dans l’espace client de ton hébergeur, ou demande-la à la personne qui gère ton site.
- Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Il faut au minimum celle de ta branche (un site en 8.4 doit passer en 8.4.27).
- En PHP 8.1 ou plus ancien, il n’y a plus de version officielle corrigée. Il faut migrer vers une version suivie, ou passer par un hébergeur qui fournit un correctif.
- Un plugin de sécurité peut réduire certains risques, mais il ne remplace pas la mise à jour de PHP.
Beaucoup d’hébergeurs mettent PHP à jour eux-mêmes. Un simple message au support suffit souvent pour savoir où tu en es.
Tu n’as pas de site : protège tes comptes
Tu ne peux pas mettre à jour les sites que tu utilises, mais tu peux limiter les dégâts si l’un d’eux se fait pirater. Quelques réflexes simples :
- Active la double authentification sur ta boîte mail, ta banque et tes réseaux sociaux. Même avec ton mot de passe, un pirate ne pourra pas se connecter sans le code reçu sur ton téléphone.
- Utilise un mot de passe différent pour chaque site, et un gestionnaire de mots de passe pour t’en souvenir.
- Méfie-toi des mails ou SMS qui parlent d’une « mise à jour urgente » ou d’un « problème de sécurité » sur ton compte. Ce genre d’actu est souvent repris par les arnaqueurs. Passe toujours par le site ou l’appli officielle.
Côté pannes et numérique, on t’expliquait aussi cette semaine ce qu’il fallait savoir après la panne du réseau Orange et Sosh. Toute l’actu locale est dans notre rubrique Actualité à Bordeaux.
Faille PHP php2shell : les questions qu’on se pose
Qu’est-ce que la faille php2shell ?
C’est le surnom de deux failles critiques dans PHP (CVE-2026-109618 et CVE-2026-109619), corrigées le 21 octobre 2026. Elles permettent de prendre le contrôle d’un serveur à distance sans mot de passe.
Mon site WordPress est-il concerné ?
Oui s’il tourne sur une version de PHP non corrigée, même si WordPress et ses plugins sont à jour. La faille est dans PHP, pas dans WordPress.
Quelles versions de PHP sont corrigées ?
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions 8.1 et plus anciennes ne reçoivent plus de version officielle corrigée.
La faille est-elle déjà exploitée ?
Oui. Amazon a repéré une tentative dès le 17 octobre 2026, et d’autres attaques ont été observées à partir du 21 octobre.
Je n’ai pas de site, que dois-je faire ?
Active la double authentification sur tes comptes importants, utilise un mot de passe différent par site et méfie-toi des faux mails de « mise à jour urgente ».
Sources : CERT-FR (avis CERTFR-2026-AVI-1359), CERT-EU (avis 2026-018), PHP, Wiz Research, Amazon Threat Intelligence, Tenable.