PHP2Shell : ce que c'est, et quoi faire sur votre site WordPress

Le 20 octobre 2026, les détails de deux failles graves de PHP ont fuité. Le correctif est sorti le lendemain, et les attaques ont commencé aussitôt. Si vous avez un site WordPress, une seule chose compte vraiment :

ce n’est pas une faille de WordPress, c’est une faille de PHP. Mettre WordPress ou vos extensions à jour ne la corrige pas. C’est PHP qu’il faut mettre à jour.

PHP2Shell, c’est quoi ?

PHP2Shell, c’est le surnom de deux failles de PHP : CVE-2026-109618 et CVE-2026-109619. Toutes les deux sont notées 9,2 sur 10 (CVSS v4.0, niveau « critique »).

Une seule requête bien préparée peut suffire à faire exécuter du code sur le serveur, sans aucun mot de passe. Et comme tout se passe dans PHP, avant même que WordPress ne démarre, ni vos réglages ni une extension de sécurité ne peuvent l’empêcher. Des fuites de mémoire du serveur (mots de passe, sessions) sont aussi possibles.

Sont concernées les versions de PHP 5.4 à 8.5. Autrement dit, presque tous les sites WordPress.

Mon site est-il touché ?

1. Dans l’administration, ouvrez Outils → Santé du site → Informations
2. Dépliez Serveur et regardez la version de PHP
3. Comparez avec ce tableau

Votre PHP	Corrigé à partir de
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35
8.1 et avant	Pas de correctif officiel (dépend de votre hébergeur)

Une subtilité : certains systèmes comme Ubuntu intègrent le correctif sans changer le numéro de version. Un numéro qui semble ancien peut donc être déjà corrigé. En cas de doute, c’est votre hébergeur qui a le dernier mot.

Sur un serveur Ubuntu

Sous Ubuntu, PHP peut afficher « 8.3.6 » tout en étant corrigé : c’est la version du paquet qui compte. Les repères, d’après l’annonce officielle d’Ubuntu :

Ubuntu	Paquet corrigé
26.04 LTS	8.5.4-0ubuntu1.5
24.04 LTS	8.3.6-0ubuntu0.24.04.13
22.04 LTS	8.1.2-1ubuntu2.28
20.04 (ESM)	7.4.3-4ubuntu2.29+esm5

Si vous gérez vous-même votre serveur (un VPS par exemple), mettez à jour avec sudo apt update && sudo apt upgrade, puis redémarrez PHP.

Que faire ?

• Demander à votre hébergeur : « Le correctif PHP2Shell (CVE-2026-109618, CVE-2026-109619) est-il appliqué sur mon serveur ? » suffit. Beaucoup d’hébergeurs publient l’état de leur correction sur leur page d’incidents : jetez-y un œil d’abord
• Changer de version de PHP : si votre hébergeur vous laisse choisir, passez sur une version corrigée, 8.2 ou plus récente
• Si vous êtes encore en PHP 8.1 ou avant, c’est le moment : il n’y aura pas de correctif officiel. Les extensions Meow Apps (AI Engine, SEO Engine, Media Cleaner…) tournent de PHP 8.1 à 8.5, elles ne vous retiendront pas

Après le changement, faites un tour du site et de l’administration pour vérifier que tout va bien.

Mon site a-t-il été piraté ?

Mettre PHP à jour ferme la porte, mais ne chasse pas quelqu’un qui serait déjà entré. Un attaquant laisse souvent un compte administrateur caché ou un petit fichier « porte dérobée ».

• Dans Comptes, un administrateur que vous ne connaissez pas ?
• Dans Extensions, une extension que vous n’avez jamais installée ?
• Sur Google, site:votre-domaine.fr affiche-t-il des pages inconnues (spam, produits douteux) ?
• La Search Console signale-t-elle quelque chose dans Problèmes de sécurité ?
• Y a-t-il des fichiers .php dans wp-content/uploads ? Ce dossier sert aux images et documents, un fichier PHP n’a rien à y faire

Si vous trouvez quelque chose, contactez votre hébergeur ou un spécialiste. Mieux vaut noter ce que vous voyez que tout effacer dans la précipitation.

Attention : certains malwares récents se cachent de la liste des comptes dans l’administration. Une liste propre ne prouve donc rien. Les vérifications complètes et l’ordre des actions sont dans WordPress piraté ? Où regarder, et quoi faire.

Laisser l’IA faire une partie des vérifications

Si Claude ou ChatGPT est connecté à votre site via le MCP d’AI Engine, une bonne partie de ces vérifications se demande dans la conversation. Une connexion en lecture seule suffit.

« Liste les administrateurs de ce site, puis les extensions installées. Ne modifie rien. »

Relisez ensuite les listes vous-même, à la recherche d’un nom inconnu. Attention : un malware qui cache ses comptes peut aussi les cacher à l’IA. Une liste propre ne dispense pas des vérifications Google et Search Console ci-dessus. Pour la connexion, tout est sur la page MCP. La version de PHP, elle, se vérifie côté serveur : Santé du site ou hébergeur.

En bref

• PHP2Shell est une faille de PHP : une mise à jour de WordPress ne la corrige pas
• Corrigé à partir de PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 (parfois sans changement de numéro)
• Dans le doute, une phrase à votre hébergeur suffit
• Une fois corrigé, vérifiez qu’il n’y a pas de trace de piratage