Faille PHP2Shell WordPress : la faille critique PHP à connaître

La faille PHP2Shell WordPress inquiète de nombreux administrateurs de sites depuis le 21 octobre 2026. Deux vulnérabilités critiques, référencées CVE-2026-109618 et CVE-2026-109619, touchent PHP lui-même, le langage qui fait fonctionner la quasi-totalité des sites WordPress, Joomla, Drupal ou boutiques en ligne dans le monde entier. Il s'agit de deux vulnérabilités critiques dans PHP, que l'équipe de sécurité de PHP note 9,2 en CVSS v4.0 et qui peuvent permettre une exécution de code à distance sans authentification.

Concrètement, un pirate n'a besoin ni de compte, ni de mot de passe, ni d'erreur de configuration particulière pour agir : la faille se déclenche pendant que PHP traite la requête, avant même que le code de votre site ne s'exécute.

C'est le point le plus mal compris par les clients : cette faille n'est pas un bug de WordPress, d'un thème ou d'une extension. Les deux failles se situent dans le moteur PHP lui-même, si bien que des boutiques Magento, Shopware ou WooCommerce sont concernées même quand leur propre code est irréprochable.

Autrement dit, PHP tourne sur le serveur qui héberge votre site, pas à l'intérieur de WordPress. Aucune mise à jour de CMS, d'extension ou de thème ne corrige ces failles, car elles se trouvent dans PHP lui-même : chaque site n'est protégé qu'une fois le serveur passé sur une version corrigée de PHP. Vous pouvez avoir le WordPress le plus à jour du monde et rester exposé si l'hébergeur n'a pas mis à jour PHP.

Le code vulnérable remonte à PHP 5.4, sorti en 2012, et toutes les configurations PHP servant des pages web sont concernées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. La faille existe donc depuis plus de dix ans, sans avoir été détectée jusqu'à cet automne.

Plus préoccupant encore : des attaques ont commencé avant même l'annonce officielle. L'équipe de renseignement sur les menaces d'Amazon rapporte une première tentative d'exploitation le 17 octobre 2026 dans les données de son réseau de pièges MadPot, soit quatre jours avant la divulgation publique. Dès l'annonce du 21 octobre, le directeur technique de Cloudflare a indiqué que l'entreprise observait déjà des attaques émergentes et adaptait en continu ses protections.

Face à cette situation, plusieurs autorités ont réagi rapidement. Le centre national britannique de cybersécurité (NCSC) a demandé aux organisations du Royaume-Uni de mettre à jour leurs serveurs PHP immédiatement ou de les mettre hors ligne en attendant le correctif. De son côté, l'agence américaine CISA a publié une alerte demandant de corriger immédiatement vers les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, d'inventorier toutes les installations de PHP, y compris lorsqu'il n'est qu'un composant, et de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour. Vous pouvez consulter l'avis de sécurité officiel publié par le projet PHP le 21 octobre 2026.

Sans jargon : la première faille, CVE-2026-109618, est un problème de gestion de la mémoire au tout début du traitement d'une requête. Si la mémoire vient à manquer pendant que les données internes d'une requête ne sont qu'en partie initialisées, le nettoyage qui suit peut traiter ces données incomplètes comme si elles étaient valides. C'est un peu comme si un classeur mal rangé était malgré tout utilisé comme s'il était complet.

La seconde faille, CVE-2026-109619, vient d'un autre défaut : des informations laissées par une requête précédente pointent vers une zone mémoire déjà libérée, et une requête suivante traitée par le même processus serveur peut alors les réutiliser. En clair, des données d'un visiteur peuvent rester accessibles dans la mémoire du serveur et être exploitées par la requête du visiteur suivant, sur le même processus.

Toutes les configurations de PHP ne se valent pas face à cette faille. Selon le projet PHP, toute installation servant des requêtes web est à risque, mod_php étant le niveau de risque le plus élevé, et seule une mise à jour constitue un correctif complet.

PHP-FPM, souvent présenté comme plus isolé, n'est pas épargné pour autant : un membre de l'équipe de sécurité de PHP a confirmé une exécution de code à distance démontrée sur Apache avec mod_php, et l'analyse du code source suggère que PHP-FPM est également vulnérable, même si aucun exploit complet n'avait encore été démontré pour cette configuration sur l'une des deux failles.

Pour un site WordPress hébergé sur un serveur PHP non corrigé, plusieurs scénarios restent possibles, sans que cela ne soit systématique : site mis hors ligne, contenu effacé ou modifié, données de clients volées, voire dépôt d'un rançongiciel. Des chercheurs ont par ailleurs démontré la divulgation non authentifiée de la mémoire des processus PHP, pouvant exposer mots de passe, jetons d'authentification et clés d'API.

À cela s'ajoute un risque moins visible mais bien réel pour une TPE : une coupure de plusieurs jours peut faire chuter le référencement Google d'un site, le temps que l'indexation et la confiance se reconstruisent. Ce sont des risques possibles, pas une fatalité, à condition d'agir avant qu'un incident ne survienne. Un audit informatique permet justement de vérifier l'état réel de votre environnement serveur.

Cette actualité illustre une réalité simple : un site internet n'est jamais figé, et sa sécurité dépend autant du code applicatif que de la couche technique invisible qui le fait tourner. Deux approches, complémentaires, permettent d'y faire face.

La première consiste à confier le suivi de ces mises à jour à un prestataire, via un contrat d'infogérance et maintenance informatique. C'est précisément ce type d'alerte qu'un contrat de maintenance permet d'anticiper : votre prestataire surveille les annonces de sécurité, applique les correctifs sur le serveur et vérifie que votre sauvegarde informatique fonctionne, sans que vous ayez à suivre vous-même chaque CVE.

La seconde, pour un WordPress vieillissant ou critique pour votre activité, consiste à envisager une migration vers une solution sur mesure comme le Site Kit d'iTS, qui n'utilise pas PHP et se trouve donc hors de portée de cette faille précise. Il s'appuie sur des pare-feux actifs, une authentification à deux facteurs, des sauvegardes répliquées sur plusieurs serveurs et un tableau de bord de suivi. En cas de besoin, la restauration d'une sauvegarde reste un service assuré par iTS, et non un bouton laissé en libre-service au client.