La faille critique découverte dans PHP, le langage qui fait tourner environ 70 % des sites web dans le monde, vient de franchir une étape redoutée : elle est désormais exploitée activement. Baptisée PHP2Shell par les spécialistes, elle regroupe deux vulnérabilités référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 sur l’échelle CVSS. Le ministère de l’Intérieur a d’ailleurs déconnecté par précaution les sites de plusieurs préfectures françaises dès le 21 octobre 2026.
Des millions de tentatives d’attaque comptées
Ce n’est plus une menace théorique. Le patron de Cloudflare, Matthew Prince, a publié des chiffres éloquents : des milliers de tentatives d’exploitation dans les dix heures précédant l’annonce publique, des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures, puis des millions désormais. AWS a même retrouvé une tentative d’exploitation remontant au 17 octobre 2026, quatre jours avant la divulgation publique. En France, le CERT-FR (rattaché à l’ANSSI) a publié le 21 octobre une alerte recensant les systèmes affectés et les mesures à prendre. Des milliers de sites et plusieurs administrations ont préféré se mettre en maintenance le temps d’appliquer les correctifs.
Pourquoi votre site est probablement concerné
Contrairement à une idée reçue, le problème ne se cache pas dans un plugin douteux : il se trouve dans PHP lui-même, le moteur qui génère les pages de votre site à chaque visite. Si votre site repose sur WordPress, PrestaShop, Drupal, Magento ou Joomla, il tourne très probablement sur PHP. Selon W3Techs, 69,3 % des sites dont le langage serveur est identifié en dépendent. Selon la configuration (PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed), un attaquant peut exécuter son propre code sur le serveur, sans disposer du moindre compte ni mot de passe. Aucun code d’application n’est donc en cause : seule la version du langage compte. C’est ce qui rend cette faille si particulière : elle ne s’attrape pas en installant un module malveillant, elle dort dans les fondations mêmes du web, et ce depuis plus de dix ans.
Que risque concrètement une PME, un commerce ou une administration locale ?
Les conséquences d’un site piraté vont bien au-delà de la page d’accueil défigurée. Un attaquant qui exécute son code sur votre serveur peut voler les données de vos clients (coordonnées, commandes, comptes), détourner vos visiteurs vers des pages frauduleuses, envoyer des courriels depuis votre domaine, ou installer une porte dérobée qui survit aux correctifs appliqués trop tard. Vient ensuite le coût de la reprise : nettoyage complet, restauration des sauvegardes, changement de tous les mots de passe et nouvelles vérifications, sans compter le temps passé à rassurer clients et partenaires.
Un site compromis peut aussi être signalé par les navigateurs ou les moteurs de recherche comme dangereux pour ses visiteurs, avec un impact immédiat sur le trafic, les demandes de devis et la réputation. Pour un commerce de Sète ou une PME du Bassin de Thau dont le site apporte des contacts chaque semaine, quelques jours d’interruption ou une bannière d’avertissement se paient en chiffre d’affaires, pas seulement en fierté.
Les correctifs à appliquer sans attendre
L’équipe de sécurité de PHP a publié en urgence des versions corrigées : 8.5.12 pour la branche 8.5, 8.4.27 pour la 8.4, 8.3.36 pour la 8.3 et 8.2.35 pour la 8.2. La consigne du projet PHP ne laisse aucune place à l’interprétation : mettre à jour immédiatement. La version utilisée s’affiche avec la commande php -v ou, sur WordPress, dans Outils, Santé du site, Infos, Serveur. Sur un hébergement mutualisé ou infogéré, c’est l’hébergeur qui applique la mise à jour : demandez-lui une confirmation écrite que c’est fait, la mention « mise à jour automatique » ne suffit pas toujours à couvrir les versions majeures. Pensez aussi aux logiciels qui embarquent PHP sans l’afficher, comme y invite le CERT-EU.
Les bons réflexes complémentaires
Une mise à jour appliquée est la seule mesure qui supprime complètement le risque, mais quelques réflexes renforcent la sécurité d’un site professionnel : vérifier que les sauvegardes sont récentes, complètes et restaurables ; surveiller les connexions inhabituelles à l’administration ; recenser toutes les installations (site principal, landing pages, boutiques de test) ; et garder un interlocuteur technique joignable en cas de doute. Les enseignes de Sète, du Bassin de Thau et de tout l’Hérault qui gèrent leur site seules perdent souvent plusieurs jours à réagir à ce type d’alerte. C’est exactement le rôle d’une agence locale : appliquer les correctifs le jour même, vérifier les sauvegardes et surveiller le site.
Questions fréquentes sur la faille PHP2Shell
Mon site a été mis en maintenance ces derniers jours, dois-je m’inquiéter ? Non : se mettre hors ligne le temps d’appliquer les correctifs est au contraire la bonne réaction, comme l’ont fait des administrations. Vérifiez simplement que la version de PHP est désormais corrigée avant de rouvrir complètement.
Je ne connais pas ma version de PHP, comment la trouver ? Demandez à votre hébergeur ou à votre agence web, ou consultez les informations du serveur dans l’administration de votre site (Outils, Santé du site, Infos, Serveur sur WordPress).
La faille touche-t-elle les boutiques en ligne ? Oui : PrestaShop, WooCommerce, Magento et la plupart des solutions e-commerce reposent sur PHP, et les données de commande sont précisément ce que recherchent les attaquants.
Faut-il changer ses mots de passe après la mise à jour ? Une fois la version corrigée installée, un renouvellement des mots de passe d’administration est une précaution recommandée, surtout si le site a tourné non protégé plusieurs jours.
Ms France Concept sécurise et dépanne les sites
De notre côté, les sites de nos clients ont été mis à jour dès la publication des correctifs, avec vérification systématique des sauvegardes. Nous proposons également un service de dépannage et de sécurisation pour les sites que nous ne gérons pas encore : mise à jour de PHP, correction des erreurs, nettoyage après piratage, remise en ligne et suivi. Si votre site tourne sur une version non corrigée, chaque heure compte. Nous vous proposons un audit gratuit de votre site, réalisable à distance ou sur rendez-vous à notre agence de Sète, à l’Espace Don Quichotte, 547 Quai des Moulins. Réservez sur https://calendly.com/contact-msfranceconcept/30min ou appelez le 04 65 84 00 27.
Sources : projet PHP, Cloudflare, AWS, CERT-FR (ANSSI), W3Techs, RFI, LeBigData, octobre 2026.
