Le 21 octobre 2026, le projet PHP a publié deux failles de sécurité critiques, référencées CVE-2026-109618 et CVE-2026-109619 – appelées aussi « PHP2Shell » par les spécialistes. Toutes deux sont classées critiques avec un score CVSS de 9.2. Nous souhaitons vous informer en toute transparence de ce que cela signifie et des mesures que nous prenons.
Les deux failles se trouvent au cœur même de PHP – non pas dans une application en particulier, mais dans le langage de programmation sur lequel repose une grande partie des sites web, dont WordPress, Joomla, Magento et bien d'autres. Dans le pire des cas, des attaquants peuvent exécuter leur propre code sur un serveur au moyen de requêtes spécialement préparées, sans authentification.
Une erreur dans le traitement des situations de manque de mémoire (out of memory) peut amener PHP à traiter des données à moitié initialisées lors du nettoyage. Des requêtes préparées peuvent provoquer volontairement cet état.
Des données d'une requête précédente peuvent subsister en mémoire alors que celle-ci a déjà été libérée. Une requête ultérieure adressée au même processus PHP peut y accéder – avec le risque que du code soit exécuté ou que des contenus de la mémoire soient divulgués.
Tous les modes de fonctionnement courants de PHP sont concernés, notamment PHP-FPM, Apache mod_php, CGI/FastCGI et LiteSpeed.
Dès la publication des failles, notre équipe technique a installé en priorité absolue les mises à jour de sécurité sur tous les systèmes que nous gérons.
Mise à jour du 22 octobre 2026 : tous les systèmes gérés par nos soins sont entièrement mis à jour et corrigés. En tant que client d'hébergement web, vous n'avez rien d'autre à faire pour corriger ces failles.
Vos sites web, vos données et vos paramètres n'ont pas été affectés par les mises à jour.
« La sécurité de vos sites web et de vos données est notre priorité absolue. C'est pourquoi nous avons réagi immédiatement et protégé sans délai tous nos systèmes. »
Nos serveurs d'hébergement web sont déjà à jour. Nous vous recommandons néanmoins de vérifier dans Plesk quelle version de PHP utilise votre site : des correctifs officiels existent pour PHP 8.2, 8.3, 8.4 et 8.5. Pour PHP 7.4 à 8.1, seuls des correctifs limités sont disponibles, et PHP 7.3 et antérieur n'en reçoivent plus du tout. Dans la mesure du possible, passez votre site à PHP 8.2 ou plus récent.
Maintenez également votre CMS (p. ex. WordPress) ainsi que tous vos thèmes et extensions à jour.
Sur votre vServer avec accès root, vous gérez vous-même les logiciels installés. Veuillez mettre à jour PHP immédiatement vers une version corrigée – 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou plus récente – ou installer les mises à jour de sécurité de votre distribution Linux ou de votre panneau de contrôle (p. ex. Plesk). Redémarrez ensuite tous les services PHP (p. ex. PHP-FPM) afin que le correctif prenne effet.
Vous avez des questions sur ces failles ou sur votre version de PHP, ou vous avez besoin d'aide pour mettre à jour votre vServer ? Notre équipe de support est à votre disposition via notre système de tickets. Merci de tout cœur pour votre confiance et votre compréhension.