Le 21 octobre 2026, PHP a publié en urgence des correctifs pour deux failles critiques surnommées PHP2Shell. Elles permettent de prendre le contrôle d’un serveur sans identifiant. Si votre site WordPress est en Suisse romande, à Lausanne ou ailleurs dans le canton de Vaud, voici ce qu’il faut savoir et faire dès maintenant.
Article publié le 22 octobre 2026. Informations susceptibles d’évoluer selon les annonces de PHP et des hébergeurs.
En bref:
- Deux failles critiques de PHP (PHP2Shell) permettent de pirater un serveur sans identifiant.
- Tous les sites WordPress sont concernés, quel que soit le thème ou les plugins.
- Versions sûres : PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 et plus.
- PHP 7.4, 8.0 et 8.1 ne reçoivent plus de correctif officiel : une migration s’impose.
- Aucun plugin de sécurité ne bloque cette faille : seule la mise à jour de PHP protège.
- Après la mise à jour, testez votre site et vérifiez l’absence de piratage.
Faille PHP2Shell : que s'est-il passé ?
Le 20 octobre 2026, des informations sur deux vulnérabilités du langage PHP ont fuité avant leur publication officielle. L’équipe PHP a avancé la sortie des correctifs au mercredi 21 octobre, à 16h00 heure suisse.
Ces failles portent les références CVE-2026-109618 et CVE-2026-109619. Elles sont notées 9.2 sur 10, soit le niveau « critique ». Des tentatives d’exploitation ont été observées par plusieurs sociétés de cybersécurité, dont certaines avant même la sortie des correctifs.
Par précaution, de nombreux sites publics et privés en Europe ont été mis en maintenance pendant quelques heures.
Pourquoi cette faille PHP touche les sites WordPress
PHP est le langage qui fait fonctionner WordPress, mais aussi Joomla, Drupal ou WooCommerce. La faille ne se trouve pas dans un plugin ou un thème, mais dans PHP lui-même, sur le serveur.
Concrètement, une simple requête envoyée au site peut suffire à exécuter du code malveillant sur le serveur. Les chercheurs à l'origine de la découverte l'ont démontré sur des installations WordPress standard.
Les risques pour une PME ou un indépendant :
- piratage du site et ajout de pages ou de liens indésirables ;
- vol de données : mots de passe, formulaires de contact, données clients ;
- redirection des visiteurs vers des sites frauduleux ;
- perte de positions dans Google si le site est signalé comme dangereux.
Quelles versions de PHP sont concernées ?
Toutes les versions de PHP depuis la 5.4 sont touchées. Seules les versions suivantes sont corrigées :
| Branche PHP | Version corrigée | Statut |
|---|---|---|
| PHP 8.5 | 8.5.12 et plus | Maintenue |
| PHP 8.4 | 8.4.27 et plus | Maintenue (recommandée) |
| PHP 8.3 | 8.3.36 et plus | Maintenue |
| PHP 8.2 | 8.2.35 et plus | Fin des correctifs au 31.12.2026 |
| PHP 8.1, 8.0, 7.4 et antérieures | Aucune version officielle | Plus maintenues |
Un site WordPress sur trois tourne encore sur une version de PHP qui n'est plus maintenue. Pour ces sites, la seule solution durable est une mise à jour de PHP vers 8.3 ou 8.4.
Que faire pour protéger votre site WordPress ?
- Vérifiez votre version de PHP. Dans WordPress : Outils > Santé du site > Informations > Serveur.
- Hébergement mutualisé (Infomaniak, Hostpoint, OVH…) : c'est l'hébergeur qui installe les correctifs. Demandez-lui une confirmation écrite.
- Site en PHP 7.4, 8.0 ou 8.1 : planifiez sans attendre la migration vers PHP 8.3 ou 8.4, après une sauvegarde complète.
- Testez le site après la mise à jour : formulaires, pages clés, éditeur, boutique en ligne.
- Contrôlez l'absence de piratage : fichiers suspects, comptes administrateur inconnus, changement des mots de passe.
Attention : aucun plugin de sécurité WordPress ne peut bloquer une faille de PHP. Un pare-feu externe comme Cloudflare peut limiter les risques en attendant, mais ne remplace pas la mise à jour.
Mise à jour PHP : pourquoi la maintenance WordPress est indispensable
Cette faille rappelle une réalité : un site web n'est pas un projet fini, mais un outil à entretenir. Les sites restés sur d'anciennes versions de PHP sont aujourd'hui les plus exposés. Confier la maintenance WordPress de son site à un professionnel permet d'éviter ce type de situation.
Une maintenance WordPress régulière comprend notamment :
- le suivi des versions de PHP et des alertes de sécurité ;
- les mises à jour de WordPress, du thème et des plugins ;
- des sauvegardes automatiques et testées ;
- une surveillance de la disponibilité du site.
Questions fréquentes sur la faille PHP2Shell
Oui, si votre version de PHP est antérieure aux versions corrigées. Tous les sites WordPress fonctionnent avec PHP.
Non. La faille se situe dans PHP, sur le serveur. Seule une version de PHP corrigée protège réellement votre site.
C'est possible avec d'anciens plugins ou thèmes. Une sauvegarde préalable et des tests permettent de revenir en arrière ou de corriger rapidement.
Au 22 octobre 2026, PHP 8.4 offre le meilleur équilibre entre sécurité, performance et compatibilité. PHP 8.3 reste un choix sûr jusqu'à fin 2027.
N'attendez pas que votre site soit piraté
Les tentatives d’exploitation de la faille PHP2Shell ont déjà commencé. Si votre site tourne en PHP 7.4, 8.0 ou 8.1, il reste exposé. The Smart Web vérifie votre site et effectue la mise à jour de PHP rapidement, en toute sécurité.
