PHP2Shell : quelles sont les conséquences de ces failles critiques de PHP pour les sites WordPress ?

Nous mettrons cet article à jour dès que de nouvelles informations officielles seront disponibles.

Le 20 octobre 2026, des informations concernant deux failles critiques de PHP ont été divulguées avant même qu’un correctif ne soit prêt. PHP étant le langage sur lequel repose WordPress, la quasi-totalité des sites WordPress pourrait être concernée. Voici ce qui s’est passé, ce que cela implique pour les sites de vos clients et les mesures à prendre dès maintenant.

Explication de la faille de sécurité « PHP2Shell »

Des chercheurs en sécurité ont découvert deux vulnérabilités critiques dans PHP : CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell ». Toutes deux permettent l'exécution de code à distance. Cela signifie qu'un pirate pourrait exécuter ses propres commandes sur un serveur depuis n'importe où sur Internet, sans avoir à se connecter, et prendre le contrôle de tous les sites hébergés sur ce serveur.

Les chercheurs ont signalé le problème en privé afin que PHP puisse préparer un correctif. Les détails devaient rester confidentiels jusqu'au 22 octobre, date à laquelle le correctif serait disponible. Cela aurait donné à tout le monde le temps de mettre à jour son système avant que les pirates ne sachent quoi rechercher.

Ce n'est pas ce qui s'est passé. Le 20 octobre, les détails concernant ces deux failles ont été rendus publics avant même que le correctif ne soit prêt.

Le 21 octobre, PHP a publié le correctif ainsi que deux avis de sécurité officiels (CVE-2026-109618 et CVE-2026-109619). La première faille peut être exploitée par des requêtes de téléchargement de fichiers spécialement conçues pour provoquer un épuisement de la mémoire de PHP. La seconde exploite des données résiduelles que PHP conserve entre deux requêtes. Ces deux failles peuvent permettre à un attaquant de prendre le contrôle du serveur.

Ce que cela signifie pour WordPress

La plupart des actualités relatives à la sécurité de WordPress concernent un plugin ou un thème. Celle-ci est différente, car le problème réside dans le langage PHP lui-même. Chaque fois qu'un utilisateur se rend sur un site WordPress, PHP s'exécute en premier, puis charge WordPress et ses plugins.

Cela a deux conséquences majeures. La mise à jour de WordPress, des extensions ou des thèmes ne permettra pas d’empêcher une éventuelle attaque de sécurité ; seule une nouvelle version de PHP y parvient. De plus, les extensions de sécurité et les pare-feu qui fonctionnent au sein de WordPress ne peuvent pas la bloquer. Ils n’entrent en action qu’une fois que PHP a déjà traité la requête.

Quels sont les sites concernés ?

Selon le CERT-EU, ces failles pourraient concerner toutes les versions de PHP à partir de la version 5.

Version de PHP	Une correction est-elle prévue ?	Version corrigée
8.5	Oui	8.5.12
8.4	Oui	8.4.27
8.3	Oui	8.3.36
8.2	Oui	8.2.35
8.1 et versions antérieures	Non, ces versions sont en fin de vie.	Aucune. Passez à PHP 8.2 ou une version ultérieure.

Ce que les agences WordPress peuvent faire pour leurs portfolios

La recommandation officielle de l'équipe PHP est de procéder à la mise à jour dès que la nouvelle version est disponible. Le CERT-EU ( ) conseille également : si vous ne pouvez pas effectuer la mise à jour rapidement, envisagez de mettre hors ligne les sites accessibles au public jusqu'à ce que vous puissiez le faire.

Voici quelques conseils pratiques destinés aux agences WordPress :

1. Vérifiez la version PHP de chaque site.
Dressez la liste des sites de vos clients et de la version de PHP utilisée par chacun d'entre eux. Les sites fonctionnant sous PHP 8.1 ou une version antérieure doivent faire l'objet d'un plan de mise à niveau. WordPress.org répertorie les versions de PHP qu'il recommande.

Grâce à WP Umbrella, vous pouvez consulter la version PHP de chaque site connecté, et les contrôles d’intégrité du site signalent les versions qui ne bénéficient plus de correctifs de sécurité. Cela transforme l’étape 1 en une vérification rapide, plutôt qu’en une tâche à effectuer site par site. Grâce au connecteur MCP deWP Umbrella, vous pouvez également demander à votre assistant IA : « Lesquels de mes sites utilisent PHP 8.1 ou une version antérieure ? »

2. Assurez-vous de disposer d'une sauvegarde intacte prête à être restaurée.
Assurez-vous que chaque site dispose d'une sauvegarde récente, intacte et complète, stockée hors du serveur, avant et après la mise à jour de PHP. Si un problème survient, vous pourrez revenir à une copie intacte.

Avec WP Umbrella , vous pouvez sauvegarder vos sites automatiquement, selon la fréquence qui vous convient le mieux. Vous pouvez également effectuer une sauvegarde manuellement, juste avant la mise à jour de la version PHP de votre site. Les sauvegardes sont stockées hors site, sur les serveurs d’ WP Umbrella. Ainsi, vous disposez toujours d’une copie intacte même si le serveur de votre hébergeur est indisponible. En cas de problème, vous pouvez restaurer une version intacte de votre site depuis votre tableau de bord WP Umbrella en un seul clic.

3. Collaborez avec vos hôtes.

Sur la plupart des formules d'hébergement, seul l'hébergeur peut mettre à jour PHP. Vérifiez si votre hébergeur vous a déjà contacté au sujet de PHP2Shell.

Si ce n'est pas le cas, vous pouvez leur demander : « Quand allez-vous installer la version corrigée de PHP ? », « Allez-vous redémarrer PHP par la suite pour que la nouvelle version soit effectivement utilisée ? », « Pour les sites fonctionnant sous PHP 8.1 ou une version antérieure, allez-vous appliquer le correctif à ces versions, ou dois-je effectuer une mise à jour ? ».

6. Vérifiez si vos sites présentent des signes d'attaque.

Vérifiez chaque site pour détecter toute activité suspecte :

• De nouveaux utilisateurs administrateurs que vous n'avez pas créés
• Les fichiers PHP que vous ne reconnaissez pas, notamment dans le dossier « uploads »
• Toute autre activité inhabituelle, telle que la modification de fichiers système

Avec « WP Umbrella » : sur les sites équipés du module complémentaire de sécurité, le journal d’activité de sécurité enregistre toutes les actions effectuées sur le site, telles que la création de nouveaux comptes administrateur ou les modifications apportées aux fichiers du cœur du site. De plus, le scanner de logiciels malveillants s’exécute quotidiennement et vous alerte immédiatement si un problème nécessite votre attention.

Dernières réflexions

PHP2Shell nous rappelle que la sécurité de WordPress ne se limite pas à WordPress. Cette fois-ci, le risque provenait de PHP, le langage sur lequel il repose, et la solution a été apportée par une mise à jour de PHP plutôt que par un plugin de sécurité.

La plupart de vos clients n'entendront jamais parler de PHP2Shell, et c'est très bien ainsi. Ce qu'ils remarqueront, c'est que leurs sites ont continué à fonctionner pendant que vous vérifiiez les versions de PHP, que vous assuriez la coordination avec les hébergeurs et que vous vous assuriez que chaque site avait bien été mis à jour. Ce travail en coulisses constitue une part importante de ce à quoi sert un contrat de maintenance.

Si vous souhaitez approfondir les détails techniques, les avis officiels de PHP concernant les vulnérabilités CVE-2026-109618 et CVE-2026-109619 expliquent précisément ce qui a été corrigé.