CYBERSECURITE
Le 20 octobre 2026, les détails de deux failles critiques de PHP ont fuité sur Internet, avant même que le correctif officiel soit disponible. En quelques heures, « PHP2Shell » faisait la une de la presse spécialisée internationale.
Voici ce qui s’est passé, ce que cela signifiait pour votre site, et comment l’équipe ArtWhere a géré la situation.
PHP2Shell, c’est quoi ?
PHP est le langage de programmation qui fait tourner une très grande partie des sites web dans le monde : WordPress, Drupal, de nombreuses boutiques en ligne et intranets reposent dessus. Quand une faille touche PHP lui-même, ce ne sont pas quelques sites qui sont concernés, mais des millions.
« PHP2Shell » désigne en réalité deux failles distinctes, référencées CVE-2026-109618 et CVE-2026-109619. L’équipe de sécurité de PHP les a notées 9,2 sur 10 en gravité. Elles pouvaient permettre à un attaquant, sans mot de passe, d’exécuter son propre code sur le serveur, autrement dit d’en prendre le contrôle à distance.
Pour imaginer le risque : c’est comme si quelqu’un avait trouvé un passe-partout capable d’ouvrir tous les immeubles équipés du même modèle de serrure. Peu importe la solidité de la porte ou la qualité de l’alarme, la serrure elle-même était en cause.
Pourquoi c’était particulièrement sérieux
- Une fuite avant le correctif. Normalement, une faille est rendue publique en même temps que sa réparation. Ici, les détails ont circulé avant : pendant plusieurs heures, les pirates en savaient autant que les défenseurs, sans qu’aucune mise à jour officielle n’existe.
- Une cible gigantesque. PHP est présent sur une majorité de serveurs web. Les attaquants automatisent ce genre d’exploitation pour balayer Internet à grande échelle.
- Même les experts ont fermé boutique. Plusieurs organismes, y compris des centres de cybersécurité comme le NCSC néerlandais, ont mis leur propre site hors ligne par précaution en attendant le correctif. Côté belge, le site du CCB était lui aussi inaccessible.
Notre intervention, heure par heure
Chez ArtWhere, nous hébergeons et maintenons les sites de nos clients. Leur sécurité est notre responsabilité, pas la leur. Voici comment la journée s’est déroulée.
| Quand | Ce que nous avons fait |
|---|---|
| 21 octobre, 5 h | Toute l’équipe est mobilisée. Inventaire des serveurs et des versions de PHP en service, surveillance renforcée de l’ensemble des sites. |
| 21 octobre, 8 h | Avant même la sortie du correctif, mise en place des mesures de protection recommandées par les experts du secteur. Vos sites étaient dès ce moment très largement protégés. |
| 21 octobre, 15 h 45 | Installation du correctif officiel en priorité sur tous les serveurs que nous gérons, puis vérification site par site. |
Pendant toute cette période, nos clients n’ont rien eu à faire. Pas de manipulation, pas de mise à jour à lancer, pas de site à couper. Nous sommes restés mobilisés jusqu’à ce que chaque site soit corrigé et contrôlé.
Pourquoi mettre à jour WordPress ne suffisait pas
Beaucoup de propriétaires de sites ont eu le bon réflexe de mettre à jour WordPress, leurs extensions ou leur thème. C’est toujours utile, mais cela ne protégeait pas contre PHP2Shell : la faille se trouvait dans PHP lui-même, c’est-à-dire dans le moteur qui fait tourner le site, géré au niveau du serveur.
Seule une mise à jour de PHP corrigeait le problème. L’équipe PHP a publié le 21 octobre les versions corrigées suivantes :
| Branche PHP | Version corrigée |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Les versions plus anciennes (PHP 8.1, 8.0, 7.x…) ne sont plus maintenues officiellement. L’équipe PHP a publié des correctifs minimaux pour certaines d’entre elles, mais un site qui tourne encore sur une version aussi ancienne reste une cible fragile. C’est l’une des raisons pour lesquelles nous maintenons les serveurs de nos clients sur des versions à jour.
Votre site n’est pas géré par ArtWhere ? Les bons réflexes
- Demandez à votre hébergeur ou à votre prestataire si PHP a été mis à jour vers l’une des versions corrigées ci-dessus, et quand.
- Vérifiez votre version de PHP : elle apparaît généralement dans le tableau de bord de votre hébergement, ou dans WordPress sous Outils › Santé du site › Infos.
- Si votre site tourne encore sous PHP 8.1 ou antérieur, prévoyez une migration rapidement : ce n’est plus une question de confort, mais de sécurité.
- Surveillez les signes anormaux : nouveaux comptes administrateurs inconnus, fichiers modifiés, redirections suspectes. En cas de doute, faites appel à un professionnel.
Ce que cet épisode nous rappelle
La sécurité d’un site web ne se limite pas à un mot de passe solide ou à un certificat HTTPS. Elle repose aussi sur des briques invisibles (serveur, langage, bases de données) qui doivent être surveillées et mises à jour en permanence. Quand une crise comme PHP2Shell éclate, la différence se joue en heures.
C’est précisément le rôle d’un partenaire technique : veiller pour vous, réagir avant vous, et vous permettre de continuer à travailler sereinement pendant que nous nous occupons du reste.
Une question sur la sécurité de votre site ?
Notre équipe se tient à votre disposition pour faire le point sur votre hébergement et vos versions de PHP.
[email protected] · +32 475 29 31 46
Sources
- php.net, annonce officielle de la version de sécurité du 21 octobre 2026
- The Hacker News : PHP2Shell, deux failles critiques non corrigées
- SecurityWeek : PHP2Shell, risque d’exploitation massive
- Huntress : analyse des failles PHP2Shell
- Journal du Net : sécuriser ses sites PHP face à PHP2Shell