Faille PHP d’octobre 2026 (PHP2Shell) : votre site est-il concerné ?

Oui si le serveur n’a pas été mis à jour, quelle que soit la version de WordPress. Le correctif est dans PHP, pas dans WordPress ni dans un plugin de sécurité. Vérifiez la version PHP dans Outils, Santé du site, onglet Infos, rubrique Serveur, et demandez à votre hébergeur si elle n’est pas en 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.

WordPress, PrestaShop, Joomla, Drupal, Magento, WooCommerce, SPIP, TYPO3 et la plupart des sites faits par une agence tournent sur PHP. Wix, Squarespace, Shopify, Webflow et Jimdo non. Pour un outil fait sur mesure, demandez à la personne qui l’a développé : Laravel et Symfony sont du PHP, Node.js, Python et .NET non. L’outil de cette page lit ces signes sur votre page d’accueil.

En hébergement mutualisé, c’est l’hébergeur qui installe la nouvelle version de PHP sur ses serveurs, pour les branches 8.2 à 8.5. Vous n’avez rien à installer, mais vous devez vérifier dans un jour ou deux que la version a bien changé. Si votre site est resté en PHP 8.1, 8.0 ou 7.x, l’hébergeur ne le corrigera pas : c’est à vous de changer de version dans cPanel, Plesk ou l’espace client, après une sauvegarde et un test.

Trois questions, par écrit : quelle version de PHP sert l’application, a-t-elle été mise à jour depuis le 21 octobre 2026, et quels journaux ont été vérifiés. Un outil interne joignable par internet, même avec un mot de passe, est exposé : les failles jouent avant la page de connexion. Si le prestataire ne répond plus, je peux reprendre le serveur.

Le projet PHP ne publie plus de version pour ces branches. Deux options : installer le paquet rétroporté si votre hébergeur ou votre distribution Linux en fournit un, ou passer en PHP 8.3 ou 8.4. Le changement de branche demande de vérifier le CMS, le thème et les extensions, avec une sauvegarde et un test sur une copie. Si ce n’est pas possible tout de suite, mettez l’application hors ligne ou derrière un pare-feu applicatif.

Non. Les mises à jour du CMS ne touchent pas à PHP, qui tourne sous le CMS. Un plugin de sécurité ne corrige pas la faille non plus : il peut bloquer certaines requêtes, pas toutes. Seule une version corrigée de PHP ferme la porte.

Regardez les journaux d’accès du serveur depuis le 17 octobre, date de la première tentative vue par Amazon : des requêtes POST volumineuses de type multipart vers des pages qui n’en reçoivent jamais sont un signal. Cherchez des fichiers .php récents dans les dossiers d’envoi (uploads, cache), des comptes administrateurs inconnus, des tâches planifiées nouvelles. En cas de doute : sauvegarde, changement des mots de passe, et si des données personnelles sont touchées, notification à la CNIL sous 72 heures. Au 22 octobre, Wordfence voyait les attaques continuer sans aucune compromission connue par cette faille : rassurant, mais pas une raison d’attendre.

Non pour ce site : ces éditeurs n’exécutent pas PHP pour vous, et leur serveur est entretenu par eux. Vérifiez en revanche vos autres outils : une boutique, un intranet, un logiciel de gestion installé chez un hébergeur ou sur un serveur de l’entreprise tournent peut-être en PHP.

À cause de cette même faille. Le 21 octobre, le ministère de l’Intérieur a coupé les sites des préfectures à la demande de l’ANSSI, Météo-France a fermé les siens, et une partie du portail des impôts est passée en maintenance ; le 22, la CAF, Ameli, l’URSSAF et le CNES ont suivi. Ce n’est ni une panne ni un piratage annoncé : une mise en maintenance préventive, le temps d’installer le correctif et de vérifier. Le 23 octobre à 11 h 40, Météo-France, ameli.fr et urssaf.fr répondaient de nouveau, mais caf.fr, impots.gouv.fr et les sites des préfectures restaient en maintenance. Vos données ne sont pas en cause : la CAF garde ses délais habituels de déclaration, votre espace particulier ou professionnel des impôts reste accessible par les liens de connexion de la page de maintenance, et pour les démarches urgentes, les préfectures publient sur leurs réseaux sociaux.

Quand le correctif est installé et vérifié, service par service. Météo-France a rouvert le 22 octobre au matin, ameli.fr et urssaf.fr répondaient le 23 à 11 h 40. À la même heure, caf.fr, impots.gouv.fr et les sites des préfectures affichaient encore une page de maintenance, sans date de retour annoncée ; le ministère de l’Intérieur parle de « meilleurs délais ». Vos espaces des impôts restent accessibles par les liens de connexion. Cette page sera mise à jour.

Le surnom donné aux deux failles CVE-2026-109618 et CVE-2026-109619 : une requête web spécialement formée permet d’exécuter des commandes sur le serveur (un « shell ») à travers PHP, sans compte ni mot de passe. Il n’existe pas de « virus PHP2Shell » à détecter sur votre ordinateur : c’est un défaut du moteur PHP lui-même, sur le serveur, corrigé par les versions du 21 octobre 2026.

Pour un site public coupé par précaution (impôts, CAF, Ameli, préfecture), non : aucune intrusion n’est annoncée. Pour votre propre site resté en ligne sans correctif pendant la journée du 21 octobre, oui : changez les mots de passe d’administration (CMS, FTP, base de données) une fois la mise à jour faite. Et méfiez-vous des e-mails qui prétendent venir de votre hébergeur, des impôts ou de « l’ANSSI » pour « vérifier vos identifiants » : les arnaques suivent toujours ce genre d’actualité.

Il lit la page d’accueil de votre site une seule fois, comme un navigateur, avec les en-têtes du serveur, et interroge les serveurs de noms du domaine. Il reconnaît la version PHP si elle est affichée, la plateforme (CMS, éditeur de site) et souvent l’hébergeur. Il ne scanne rien, n’envoie aucune charge et ne garde pas votre adresse au-delà de quelques minutes de cache. Il ne voit pas une version masquée, ni les applications sur d’autres adresses, ni un correctif rétroporté sans changement de numéro : dans ces cas, seule une réponse de l’hébergeur ou un accès au serveur tranche.