PHP2Shell : que vérifier chez son hébergeur ?

Publié le 29 octobre 2026. Sources officielles consultées le même jour. Aucun test d’intrusion ni audit des hébergeurs réalisé.

Des correctifs publiés, pas seulement annoncés

Le projet PHP a publié le 21 octobre 2026 les versions ci-dessous pour les deux failles critiques surnommées PHP2Shell, CVE-2026-109618 et CVE-2026-109619. Elles touchent le moteur PHP ; leur exploitation peut permettre l’exécution de code à distance sans authentification. Les avis sur la gestion mémoire et sur l’état conservé entre requêtes détaillent les conditions techniques.

Ces repères concernent ces deux failles, pas une certification de sécurité du site. Un correctif rétroporté adapte la correction à un paquet plus ancien : demandez sa référence au fournisseur au lieu de conclure à partir du seul numéro affiché.

En mutualisé : vérifier le périmètre du déploiement

o2switch : son bilan du 23 octobre déclare les correctifs appliqués aux versions PHP 5.2 à 8.5 proposées dans cPanel. Le billet explique que le numéro pouvait initialement rester inchangé, puis précise dans une mise à jour du 23 octobre à 10 h que les numéros officiels corrigés sont désormais affichés. Les versions antérieures à 5.2 sont exclues du périmètre indiqué.

OVHcloud : dans son retour d’intervention du 27 octobre, l’hébergeur déclare terminé le déploiement sur son hébergement web mutualisé, y compris les rétroportages pour PHP 5.3 à 7.3. Cette déclaration ne vaut pas confirmation pour un VPS que vous administrez.

Il s’agit de déploiements déclarés comme réalisés par les fournisseurs. Nous ne les avons pas contrôlés sur les comptes clients. Pour une autre offre, une ancienne configuration ou un environnement personnalisé, obtenez une réponse portant sur votre installation.

Sur VPS, dédié ou Docker : faire confirmer l’intervention

Le guide OVHcloud du 21 octobre pour VPS et Bare Metal demande aux administrateurs de mettre à jour PHP puis de redémarrer les services concernés. Pour Docker, il demande de reconstruire les images à partir d’une base corrigée et de redéployer. Mettre à jour le PHP du système hôte ne met pas à jour celui d’un conteneur.

1. Recensez les environnements : sites publics, sous-domaines, préproductions et conteneurs. Notez qui assure leur maintenance.
2. Vérifiez le PHP utilisé par le web : la commande php -v renseigne le terminal ; elle peut viser une autre installation. Comparez avec le panneau d’hébergement ou la configuration du service web.
3. Demandez la preuve du paquet corrigé : référence de l’avis du fournisseur, version exacte du paquet et confirmation du redémarrage ou du redéploiement.
4. Vérifiez le fonctionnement après intervention : connexion, envoi de fichier, formulaire et, pour une boutique, parcours de commande en mode test.

Si vous utilisez WordPress, Outils → Santé du site → Informations → Serveur aide à relever la version PHP côté site. Évitez de publier une page de diagnostic donnant toute la configuration du serveur ; transmettez les informations utiles au support par son espace client.

Un message concret à envoyer

Remplacez les éléments entre crochets :

Bonjour, mon domaine [domaine] utilise l’offre [offre]. Pouvez-vous confirmer que le PHP servant ses requêtes web a reçu les corrections CVE-2026-109618 et CVE-2026-109619 ? Merci d’indiquer la version ou le paquet corrigé, le périmètre couvert et si les processus ont été redémarrés. J’utilise aussi [préproduction ou conteneur, le cas échéant] : cet environnement est-il couvert ?

Conservez la réponse et sa date avec votre suivi de maintenance. Si la réponse porte seulement sur un pare-feu ou une protection temporaire, demandez quand le correctif PHP sera installé.

Ce qui reste à surveiller après le 21 octobre

Le 23 octobre, PHP a signalé un cas distinct, CVE-2026-115560, lié à une combinaison inhabituelle de réglages de session et de code applicatif. Au 29 octobre, ce bulletin annonce son traitement dans le prochain cycle régulier. Il recommande session.upload_progress.enabled=0 dans l’intervalle pour les configurations concernées. Faites vérifier ce point par votre administrateur ; les versions du tableau ne prouvent pas à elles seules que ce cas est traité.

Le calendrier officiel de maintenance fixe la fin des correctifs de sécurité PHP 8.2 au 31 décembre 2026. PHP 8.3 est couvert jusqu’à fin 2027, PHP 8.4 jusqu’à fin 2028 et PHP 8.5 jusqu’à fin 2029. Un correctif exceptionnel pour une ancienne branche ne prolonge pas son support officiel. Préparez la migration sur une copie du site avec une sauvegarde restaurable.

Pour choisir votre offre, consultez notre guide WordPress ou les responsabilités associées à un VPS. Pour le budget, le comparateur de coût cumulé et le relevé des prix daté complètent ces vérifications techniques.