Faille PHP2Shell : votre site WordPress est-il concerné ?

Sommaire4 sections

Le 21 octobre 2026 à 21 h 55, heure de Tokyo, la Première ministre japonaise Sanae Takaichi a publié un message sur X : « À tous, une demande de la plus haute urgence : merci d’agir dès ce soir. » Elle parlait de PHP, le langage qui fait tourner WordPress et une grande partie du web. Si le correctif ne pouvait pas être installé vite, elle citait l’arrêt temporaire des sites parmi les mesures efficaces.

Dans la nuit, plusieurs services japonais sont passés en maintenance d’urgence, dont pixiv, Niconico, la plateforme de boutiques en ligne BASE et l’hébergeur Sakura Internet. Le ministère des Finances a mis une partie de ses pages hors ligne. Voici ce qui s’est passé, sans jargon, et ce que vous pouvez vérifier sur votre site.

La faille, en clair

WordPress est écrit en PHP, un langage installé sur le serveur qui héberge votre site. Quand un visiteur ouvre une page, le serveur lance PHP, qui fabrique la page et l’envoie au navigateur. Selon W3Techs, PHP fait tourner 69,3 % des sites dont on connaît le langage côté serveur.

Avec ces deux failles, un pirate peut envoyer une simple demande au serveur, depuis n’importe où, et lui faire exécuter ses propres commandes. Il n’a besoin ni de mot de passe ni de compte sur le site. Il peut alors lire, modifier ou effacer ce que contient le serveur. Le projet PHP précise que toutes les installations qui servent des pages web sont touchées, quel que soit le type de serveur.

Les deux failles ont reçu des numéros officiels, CVE-2026-109618 et CVE-2026-109619, et un surnom, « php2shell ». Sur l’échelle de gravité habituelle, elles sont notées 9,2 sur 10. Le correctif est sorti le 21 octobre à 14 h UTC (16 h à Paris, 23 h au Japon).

Couper son site : le même conseil au Japon, en France et aux États-Unis

Le message de la Première ministre a surpris au Japon, et le média Business+IT parle de « situation exceptionnelle ». Le conseil, lui, est partagé. Le centre japonais de coordination de la cybersécurité (NCO) a dit la même chose le même soir. En France, le CERT-FR, l’équipe d’alerte de l’ANSSI, recommande d’isoler les systèmes touchés avant de passer à une version corrigée. Aux États-Unis, la CISA, l’agence de cybersécurité, demande de mettre hors ligne ceux qui ne peuvent pas être corrigés tout de suite.

Pour un site vitrine, quelques heures hors ligne coûtent peu. Pour une boutique, la décision se prend avec l’hébergeur, selon ce qu’il a déjà corrigé.

Votre site WordPress est-il concerné ?

Oui, comme tout site qui fonctionne avec PHP. Vous n’avez pourtant rien à installer dans WordPress, car la faille est dans le serveur. Sur un hébergement mutualisé, le plus courant, c’est l’hébergeur qui met PHP à jour. Votre rôle est de vérifier qu’il l’a fait.

Ce que disent les hébergeurs

Hostinger annonce que le correctif est installé sur tous ses serveurs depuis le 22 octobre à 6 h 44 UTC, sauf sur les serveurs privés (VPS), que les clients gèrent eux-mêmes. Il l’a aussi ajouté aux anciennes versions de PHP, de 5.2 à 8.1. Kinsta indique le même jour que tous les sites qu’il héberge sont protégés, et qu’il n’a vu aucune intrusion liée à cette faille. Chez o2switch, nous avons vérifié nous-mêmes le 22 octobre que le correctif était en place.

Si votre hébergeur n’a rien publié, posez-lui la question par écrit, en citant les deux numéros CVE-2026-109618 et CVE-2026-109619.

Voir la version de PHP de son site

Dans l’administration de WordPress, ouvrez Outils, puis Santé du site, onglet Infos, rubrique Serveur. La ligne « Version de PHP » donne la version utilisée. Votre espace client chez l’hébergeur l’affiche aussi.

Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Vous n’avez pas à changer de version, il suffit d’avoir la dernière mise à jour de la vôtre. PHP 8.1 et les versions plus anciennes ne sont plus suivies par le projet PHP. Certains hébergeurs, comme Hostinger, y ajoutent quand même le correctif, mais le CERT-FR conseille de passer à une version suivie. Et PHP 8.2 ne le sera plus après le 31 décembre 2026.

Le numéro affiché ne suffit pas toujours

Sur notre serveur Hostinger, PHP 8.4 affiche encore 8.4.26, alors que la version corrigée est la 8.4.27. Ce n’est pas un oubli : Hostinger ajoute le correctif à la version déjà installée, sans changer son numéro. Il le dit dans son annonce, et donne le bon repère, la date de construction de PHP. Si elle est du 21 octobre 2026 ou plus récente, le correctif est là. Chez Hostinger, cette date se lit dans les informations PHP de l’espace client.

Et si votre site a déjà été touché ?

Le jour du correctif, la CISA n’avait observé aucune attaque. Depuis, Amazon a indiqué que ses serveurs pièges avaient enregistré une tentative le 17 octobre, quatre jours avant l’annonce des failles. Les attaquants vont vite : d’après Rapid7, les premières attaques arrivent en 5 heures (délai médian) sur une faille très exploitée.

Un site touché par cette faille ressemble à n’importe quel site piraté. Il redirige vers d’autres sites, affiche des pages que vous n’avez pas créées, reçoit une alerte de Google ou se fait suspendre par l’hébergeur. Les gestes à faire, et leur ordre, sont dans notre guide Site WordPress piraté : que faire, et dans quel ordre.

Votre hébergeur ne répond pas, ou vous avez un doute sur votre site ? Décrivez-nous ce qui se passe : nous intervenons en urgence, sur devis si vous n’êtes pas encore client.