Ce qui s'est passé
Le 20 octobre 2026, les détails de deux failles de sécurité de PHP ont fuité sur internet, avant la date prévue pour leur publication officielle. L'équipe de PHP a donc avancé la sortie des correctifs au 21 octobre. Les chercheurs ont surnommé l'ensemble « php2shell ».
Elles portent les identifiants CVE-2026-109618 et CVE-2026-109619 et sont classées critiques (9,2 sur 10). Concrètement, un attaquant peut, en envoyant des requêtes piégées à votre site, exécuter du code sur le serveur, sans avoir besoin d'un identifiant ni d'une faille dans votre propre site. Des tentatives d'exploitation ont déjà été observées.
Qui est concerné ?
Toutes les versions de PHP de 5.4 à 8.5.11 sont touchées. Autrement dit, la quasi-totalité des sites qui utilisent PHP au 21 octobre 2026 :
- les sites WordPress, PrestaShop, Joomla, Drupal…
- les sites sur mesure développés en PHP ;
- les hébergements mutualisés (OVH, o2switch, Hostinger, IONOS…), où c'est vous qui choisissez la version de PHP.
Un site entièrement statique (sans PHP) n'est pas concerné.
Les versions qui corrigent la faille
| Branche PHP | Version corrigée | Statut |
|---|---|---|
| PHP 8.5 | 8.5.12 | Corrigée |
| PHP 8.4 | 8.4.27 | Corrigée |
| PHP 8.3 | 8.3.36 | Corrigée |
| PHP 8.2 | 8.2.35 | Corrigée |
| PHP 8.1, 8.0, 7.x… | Aucune | Fin de vie : pas de correctif |
Point important : beaucoup de sites tournent encore en PHP 8.0 ou 7.4, des versions qui ne sont plus maintenues. Pour elles, il n'y aura pas de correctif officiel : il faut changer de version, idéalement pour PHP 8.4.
Comment vérifier votre site
Sur un site WordPress
Dans l'administration, ouvrez Outils → Santé du site → Informations → Serveur. La ligne « Version de PHP » vous donne la réponse.
Sur un hébergement OVH
Dans l'espace client OVHcloud : Web Cloud → Hébergements → votre hébergement → Informations générales. La version de PHP est indiquée dans « Configuration ». Elle se trouve aussi dans le fichier .ovhconfig à la racine de votre FTP, à la ligne app.engine.version.
Chez un autre hébergeur
Cherchez « Version PHP » ou « Sélecteur PHP » dans votre panneau d'administration (cPanel, Plesk…). En cas de doute, votre hébergeur ou votre développeur peut vous répondre en deux minutes.
Mettre à jour sans casser son site
- Faites une sauvegarde complète : fichiers et base de données.
- Sur WordPress, mettez d'abord à jour WordPress, le thème et toutes les extensions : les anciennes extensions sont la première cause de problème après un changement de PHP.
- Passez à PHP 8.4 depuis votre espace d'hébergement. Chez OVH, le changement prend effet en quelques minutes.
- Testez les pages importantes : accueil, formulaire de contact, panier ou réservation, connexion à l'administration.
- En cas de souci, revenez à l'ancienne version le temps de corriger. Sur un hébergement correctement configuré, c'est réversible en quelques minutes.
Sur mon propre site, la bascule de PHP 8.0 vers PHP 8.4.27 a été faite le jour même de la publication du correctif : quelques minutes de travail, aucune coupure, et toutes les pages vérifiées une à une.
Et ensuite ?
Cette faille rappelle une règle simple : un site internet s'entretient. La version de PHP, les extensions et le thème doivent être tenus à jour, comme on fait réviser une voiture. Un site laissé tel quel pendant des années finit toujours par devenir une porte d'entrée.
Si vous ne savez pas sur quelle version tourne votre site, ou si vous préférez ne pas vous en occuper vous-même, je peux le vérifier et faire la mise à jour pour vous.