Failles critiques PHP « php2shell » : vos sites hébergés chez nous sont déjà protégés

Sécurité Mercredi 21 octobre 2026

En bref : les deux failles critiques de PHP révélées cette semaine sont corrigées sur notre infrastructure d’hébergement et d’infogérance. Si votre site est hébergé chez nous, vous n’avez aucune action à faire pour PHP lui-même. Voici ce qui s’est passé, pourquoi c’était sérieux, et les quelques points à vérifier si vous gérez aussi des serveurs ou des applications ailleurs.

Deux failles notées 9,2 sur 10 dans le cœur de PHP

Le 21 octobre 2026, l’équipe de sécurité de PHP a publié en urgence les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent deux vulnérabilités, toutes deux notées 9,2 (CVSS v4.0, critique) et surnommées « php2shell » par les chercheurs :

CVE-2026-109618 : un manque de mémoire pendant l’initialisation d’une requête peut laisser des données à moitié initialisées. Le nettoyage de fin de requête les traite ensuite comme valides, ce qui ouvre la voie à l’exécution de code.
CVE-2026-109619 : un état propre à une requête peut survivre après la libération de sa mémoire. Une requête suivante traitée par le même processus peut alors réutiliser cet état périmé, avec à la clé fuite de mémoire et exécution de code avec les droits du serveur web.

Selon l’avis officiel, une exécution de code complète, sans authentification et par simple requête HTTP, a été démontrée contre Apache avec mod_php en configuration par défaut. PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont également concernés. L’annonce a été avancée d’urgence après la fuite d’informations sur ces failles le 20 octobre.

Pourquoi c’était grave pour tous les sites PHP

Ces failles se trouvent dans PHP lui-même, pas dans une extension ou un thème. Tout ce qui tourne sur PHP est donc potentiellement exposé : WordPress, PrestaShop, Drupal, Joomla, Magento, mais aussi les applications sur mesure développées avec Laravel ou Symfony. Une mise à jour de WordPress ou de vos extensions ne protège pas contre ce type de faille : c’est le moteur PHP du serveur qu’il faut mettre à jour.

Ce que nous avons fait sur notre infrastructure

Les versions corrigées de PHP ont été déployées sur l’ensemble de notre infrastructure d’hébergement et sur les serveurs que nous infogérons. Les services PHP ont été redémarrés pour que les correctifs soient effectivement actifs. Vos sites hébergés chez nous sont protégés contre ces deux failles, sans changement de version majeure de PHP ni intervention de votre part.

Développeurs : ce qu’il reste à vérifier ailleurs

Si vous gérez aussi des environnements hors de notre infrastructure (serveur personnel, poste de développement, conteneurs, CI), voici les contrôles à faire.

1. Vérifier la version de PHP, en ligne de commande et côté serveur web :

php -v
php-fpm8.4 -v   # adaptez à votre version

Attendu : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 au minimum, ou un paquet de votre distribution intégrant le correctif.

2. Reconstruire vos images Docker. Une image construite avant le 21 octobre embarque un PHP vulnérable, même si l’image de base a été mise à jour depuis :

# Dockerfile : épinglez la version corrigée
FROM php:8.4.27-fpm

# puis reconstruisez sans cache
docker build --pull --no-cache -t mon-app .

3. Redémarrer les processus PHP de longue durée. Les workers de files d’attente, Laravel Horizon ou Octane, les consommateurs Symfony Messenger continuent d’exécuter l’ancien binaire tant qu’ils ne sont pas relancés :

php artisan queue:restart
php artisan horizon:terminate
# Symfony Messenger
php bin/console messenger:stop-workers

4. Ne pas rester sur PHP 8.1 ou antérieur. Ces versions ne sont plus maintenues par le projet PHP et ne recevront pas de correctif officiel. À noter aussi : PHP 8.2 arrive en fin de vie le 31 décembre 2026. C’est le bon moment pour planifier la migration de vos applications vers PHP 8.4 ou 8.5.

Notre avis d’agence

Ce type d’alerte montre l’intérêt d’un hébergement infogéré : entre l’annonce d’une faille critique et son exploitation, le délai se compte parfois en heures. Le correctif appliqué au niveau du serveur protège d’un coup tous les sites qui y sont hébergés. Nous restons attentifs aux suites de cette affaire et mettrons à jour cet article si de nouveaux éléments le justifient.

Votre site tourne encore sur une version ancienne de PHP, ou il est hébergé ailleurs et vous avez un doute ? Contactez-nous : nous pouvons faire le point sur votre installation et vous accompagner dans la migration.

Sources

Mots-clés