Faille PHP2Shell : deux vulnérabilités critiques exposent votre site PHP

Deux failles PHP notées 9,2/10 permettent d'exécuter du code à distance sur quasiment tous les serveurs — sans mot de passe, sans accès. WordPress, PrestaShop, site sur mesure : si votre PHP n'est pas à jour depuis le 21 octobre 2026, il est vulnérable.

Votre site est-il vulnérable à la faille PHP ?

Le test gratuit de cette page lit les indices publics que votre serveur laisse aux visiteurs (en-têtes PHP, cookies PHPSESSID, signatures WordPress/PrestaShop, liens .php) et affiche le verdict en 10 secondes.

Deux failles, un même verdict

CVE-2026-109618 : corruption mémoire déclenchable via un simple upload multipart. CVE-2026-109619 : un état interne périmé survit d'une requête à l'autre et permet l'exécution de code. Seuls PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 corrigent — PHP 7.4, 8.0 et 8.1 ne recevront jamais de patch officiel.

Ce que je fais pour vous

• Inventaire : version PHP exposée, extensions, hébergement — l'état exact de votre risque.
• Plan de correction : patch direct ou migration vers une version supportée, sans casser le site.
• Mise à jour : correctifs appliqués, configuration durcie, site vérifié de bout en bout.
• Suivi : contrôles post-patch et veille durable.

Faille PHP : questions fréquentes

Qu'est-ce que la faille PHP2Shell ?

Deux vulnérabilités critiques publiées le 21 octobre 2026 (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permettant l'exécution de code à distance sans identifiant.

Comment savoir si mon site est vulnérable à la faille PHP ?

Votre site est vulnérable s'il tourne sous PHP sans les correctifs 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Le test de cette page répond en quelques secondes.

Mon site tourne sous PHP 7.4 ou 8.1, suis-je concerné ?

Oui — ces versions en fin de vie ne recevront jamais le correctif : seule une migration vers PHP 8.2+ protège durablement.

Que faire si mon site PHP est vulnérable ?

Appliquer les correctifs ou migrer vers une version supportée ; les réglages de mitigation réduisent le risque sans fermer la faille.

La mise à jour PHP peut-elle casser mon site ?

Possible entre versions majeures — une migration encadrée (environnement de test, vérification des extensions, bascule) évite toute interruption.

Lire l'analyse complète des deux failles — Prendre rendez-vous