Alerte cybersécurité majeure : deux failles critiques baptisées PHP2Shell (CVE-2026-109618 et CVE-2026-109619, sévérité 9,2/10 sur l’échelle CVSS v4.0) ont été corrigées en urgence dans le cœur de PHP, le langage qui fait tourner environ 70 % des sites web dans le monde, de WordPress à PrestaShop en passant par Drupal, Joomla et Magento.
Une faille cachée depuis plus de dix ans, débusquée par l’IA
Ces vulnérabilités se cachaient dans la gestion de la mémoire du moteur PHP depuis plus de dix ans — l’une d’elles serait présente depuis quatorze ans selon OpenAI. Elles permettent à un attaquant de prendre le contrôle du serveur à distance, sans compte ni mot de passe. Ce sont des intelligences artificielles de pointe qui les ont révélées : les chercheurs de la société de cybersécurité Wiz ont utilisé Gemini 4 Argon (Google) et les modèles GPT (OpenAI), dans le cadre de l’initiative « Patch the Planet ». L’information a fuité le 20 octobre 2026, poussant des milliers de sites — dont des administrations françaises — à se mettre en maintenance le temps d’appliquer les correctifs, publiés le 21 octobre à 15 h 30.
Quelles versions de PHP mettre à jour ?
Seule une mise à jour supprime complètement le risque, rappelle l’équipe de sécurité de PHP. Les versions corrigées sont :
- PHP 8.5.12 pour la branche 8.5
- PHP 8.4.27 pour la branche 8.4
- PHP 8.3.36 pour la branche 8.3
- PHP 8.2.35 pour la branche 8.2
Sur WordPress, la version s’affiche dans Outils > Santé du site > Infos > Serveur. Sur un hébergement mutualisé ou infogéré, il faut vérifier auprès de son hébergeur que la mise à jour a bien été appliquée. Le CERT-FR (ANSSI) a publié le 21 octobre une alerte recensant les systèmes affectés et les mesures à prendre.
Les bons réflexes pour protéger son site
Au-delà de la mise à jour de PHP, les professionnels recommandent de recenser toutes les installations (y compris les logiciels qui embarquent PHP sans l’afficher), de vérifier ses extensions et thèmes, de tester ses sauvegardes et de surveiller les connexions inhabituelles. Les cyberattaques exploitant ces failles ont déjà commencé selon la presse spécialisée.
Ce que nous faisons chez Ms France Concept
Agence web et de communication basée à Sète, Ms France Concept a immédiatement appliqué les correctifs : les sites de nos clients sont déjà à jour et sécurisés. Notre équipe propose aussi un service de dépannage et de sécurisation de sites internet (mise à jour, correctifs, sauvegardes, HTTPS, surveillance) pour les entreprises dont le site n’est pas encore protégé. Audit gratuit de votre site sur rendez-vous, à distance ou à l’agence.
Sources : RFI, Blog du Modérateur, 01net (22 octobre 2026).
