Une alerte de sécurité qui concerne la majorité des sites web
Le mercredi 21 octobre 2026, l’équipe de PHP a publié en urgence des mises à jour pour corriger deux failles critiques, surnommées PHP2Shell. Les informations avaient fuité la veille, ce qui a poussé l’équipe à avancer la publication des correctifs et certains sites à se mettre en maintenance par précaution.
PHP est le langage qui fait tourner WordPress, PrestaShop, Joomla et la grande majorité des sites vitrines et boutiques en ligne des TPE et PME. Si vous avez un site internet, il y a donc de fortes chances qu’il soit concerné.
Voici, en termes simples, ce qu’il faut savoir et les vérifications à faire dès maintenant.
PHP2Shell, la faille expliquée simplement
Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur 10 en gravité. Il s’agit de failles d’exécution de code à distance : un pirate peut faire exécuter ses propres commandes au serveur qui héberge votre site, et donc en prendre le contrôle.
La particularité de PHP2Shell tient à son emplacement. La faille se situe dans PHP lui-même, en amont de WordPress et de ses extensions. Un site WordPress parfaitement à jour reste donc exposé tant que la version de PHP installée sur le serveur n’a pas été corrigée.
Le risque est d’autant plus concret que les pirates réagissent vite. Lors d’une précédente faille PHP, en juin 2024, des attaques avaient été observées moins de 48 heures après la publication du correctif.
Votre site est-il concerné ?
Tout dépend de la version de PHP utilisée par votre hébergement.
| Version de PHP | Situation |
|---|---|
| PHP 8.5, 8.4 et 8.3 | Corrigées par les versions 8.5.12, 8.4.27 et 8.3.36 |
| PHP 8.2 | Corrigée par la version 8.2.35, mais plus aucun correctif après le 31 décembre 2026 |
| PHP 8.1, 8.0 et 7.4 | Correctif minimal à compiler soi-même, hors de portée sur un hébergement mutualisé |
| PHP 7.3 et versions antérieures | Aucun correctif officiel |
Sur un hébergement mutualisé, comme chez o2switch, Hostinger ou OVHcloud, c’est l’hébergeur qui installe les versions corrigées. Votre rôle consiste à vérifier que votre site utilise bien une branche maintenue.
Les sites anciens sont les plus exposés. D’après les statistiques de W3Techs, environ un quart des sites en PHP tournaient encore sous PHP 7 au moment de l’alerte.
Cinq réflexes à adopter dès aujourd’hui
1. Vérifier la version de PHP de votre site
Dans WordPress, ouvrez le menu Outils, puis Santé du site, onglet Informations, rubrique Serveur : la version de PHP y figure. Vous la retrouvez aussi dans l’espace client de votre hébergeur, souvent sous l’intitulé « Sélectionner une version de PHP ».
2. Faire une sauvegarde complète
Avant toute intervention, sauvegardez les fichiers et la base de données de votre site. Conservez une copie en dehors de votre hébergement : sur votre ordinateur ou un espace de stockage en ligne. En cas de piratage, cette copie permet de repartir d’une version saine.
3. Passer sur une version de PHP maintenue
Si votre site tourne sous PHP 8.2 ou une version plus ancienne, basculez vers PHP 8.3 ou 8.4 depuis l’espace client de votre hébergeur. Contrôlez ensuite chaque page importante : formulaire de contact, boutique, prise de rendez-vous. Une ancienne extension incompatible peut provoquer un affichage défectueux ; il suffit alors de revenir à la version précédente le temps de la remplacer.
4. Mettre à jour WordPress, le thème et les extensions
Ces mises à jour garantissent la compatibilité avec les versions récentes de PHP. Profitez-en pour supprimer les extensions inutilisées : chacune représente une porte d’entrée potentielle.
5. Interroger votre hébergeur
Demandez à votre hébergeur s’il a bien déployé les versions corrigées du 21 octobre. Les hébergeurs sérieux ont généralement communiqué sur le sujet. Si vous gérez votre propre serveur et devez patienter avant la mise à jour, l’équipe de PHP recommande de désactiver le paramètre session.upload_progress.enabled pour limiter l’exposition à l’une des deux failles.
Un site piraté, c’est aussi un référencement en danger
Le piratage d’un site a des conséquences bien au-delà de la technique. Les pirates s’en servent souvent pour publier des centaines de pages de spam, rediriger vos visiteurs vers des sites frauduleux ou héberger des logiciels malveillants.
Google détecte ces comportements et réagit vite : avertissement « Ce site a peut-être été piraté » dans les résultats, alerte rouge dans le navigateur, chute brutale des positions. Les visiteurs fuient, et regagner la confiance de Google prend ensuite plusieurs semaines, parfois plusieurs mois.
La sécurité fait donc partie intégrante du travail d’une agence de référencement naturel : un site rapide, à jour et protégé conserve ses positions durablement. Pendant une remise en état, une fiche Google Business Profile bien référencée continue de vous apporter des appels et des demandes d’itinéraire.
Si votre site repose sur une technologie trop ancienne pour être mise à jour, une refonte de site internet devient la solution la plus sûre, et l’occasion de repartir sur des bases saines pour votre visibilité.
Faille PHP2Shell : vos questions, nos réponses
Mon site WordPress est à jour, suis-je protégé ?
La faille se situe dans PHP, le langage installé sur le serveur. La protection vient donc de la version de PHP utilisée par votre hébergement. Vérifiez-la dans Outils, puis Santé du site, ou demandez-la à votre hébergeur.
Comment savoir si mon site a été piraté ?
Quelques signes doivent alerter : des pages inconnues dans les résultats Google en tapant site:votredomaine.fr, des redirections vers d’autres sites, un compte administrateur que vous n’avez pas créé ou un message d’alerte de la Search Console. Au moindre doute, faites appel à un professionnel.
Mon site tourne sous PHP 7, que faire ?
PHP 7 ne reçoit plus de correctif officiel installable sur un hébergement mutualisé. La solution consiste à passer à PHP 8.3 ou 8.4, après avoir vérifié la compatibilité du thème et des extensions. Sur un site très ancien, une refonte est souvent plus rapide et plus sûre qu’une remise à niveau.
Faut-il mettre son site en maintenance ?
Certains sites l’ont fait le 21 octobre, le temps d’appliquer les correctifs. Pour un site vitrine sur un hébergement mutualisé à jour, la mise en maintenance est inutile : la vérification de la version de PHP suffit.
Faites vérifier votre site
PHP2Shell rappelle qu’un site internet demande un suivi régulier : version de PHP, mises à jour, sauvegardes. Quelques minutes de vérification suffisent souvent à écarter le risque.
Nous contrôlons la version de PHP de votre site, appliquons les mises à jour nécessaires et vérifions qu’il fonctionne correctement après la bascule. Nous accompagnons les entreprises de l’Isère depuis notre agence SEO à Grenoble, celles du sud avec notre agence SEO dans le Vaucluse et notre agence SEO dans le Var, ainsi que des clients partout en France à distance.
Un doute sur la sécurité de votre site ? Contactez-nous ou écrivez à magali@web2m.fr.
