php2shell : la ligne PHP la plus sûre est celle qui ne s'exécute pas

Le 21 octobre 2026, le projet PHP a publié des correctifs d'urgence pour deux failles de sécurité critiques que leurs découvreurs ont baptisées « php2shell » (CVE-2026-109618 et CVE-2026-109619). Elles sont notées 9.2 sur 10 (CVSS v4.0) et peuvent être exploitées à distance, sans authentification. Dans une variante déjà démontrée, une seule requête suffit, avant même qu'une ligne de code WordPress, Joomla ou Drupal ne s'exécute.

Selon le chercheur en sécurité Kevin Beaumont, il s'agit de l'une des plus grandes vulnérabilités depuis des années. Le NCSC britannique recommande de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour immédiatement.

Ce qui s'est passé

• L'erreur se trouve dans le noyau de PHP lui-même, et non dans un plugin ou un thème. Selon Wiz Research, toutes les versions de PHP des dix dernières années sont touchées par au moins l'une des deux failles, jusqu'à PHP 5.4.
• Wiz a démontré une exécution de code à distance sans authentification contre des installations récentes de WordPress, Drupal et Joomla. Il est en outre possible de lire la mémoire du serveur, où peuvent se trouver des mots de passe, des jetons et des clés d'API.
• Les détails ont fuité avant le correctif. Amazon a déjà enregistré une tentative d'exploitation le 17 octobre, quatre jours avant la publication officielle.

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions antérieures ne sont officiellement plus prises en charge par le projet PHP. Seule une mise à niveau ou un rétroportage de l'hébergeur y change quelque chose.

Le vrai problème : le site dont personne ne s'occupe

Quiconque côtoie des sites de PME connaît le tableau : le site a été mis en place il y a sept ans par une agence. Il tourne sur une offre d'hébergement mutualisé bon marché. Le thème WordPress n'a plus été touché depuis, et à la question « Quelle version de PHP utilisez-vous au juste ? », on répond par un haussement d'épaules.

Ce sont précisément ces sites qui deviennent maintenant un risque. En général, leurs exploitants ne sont pas négligents, simplement personne ne se sent responsable. L'expert en sécurité Hal Pomeranz a évoqué d'innombrables installations qui ne sont jamais corrigées.

Une attaque touche d'ailleurs plus que le site. Celui qui peut exécuter du code sur le serveur peut rediriger les visiteurs vers des pages d'hameçonnage, diffuser des logiciels malveillants, intercepter des données de formulaires ou envoyer du spam au nom de l'entreprise. Pour une PME, cela signifie vite : un avertissement dans Google, un hébergement bloqué, un incident de protection des données.

Mon site a-t-il vraiment besoin de PHP ?

La très grande majorité des sites de PME n'en ont pas besoin.

Le site d'une menuiserie, d'un cabinet de physiothérapie ou d'une fiduciaire présente des prestations, des références, des horaires d'ouverture et un formulaire de contact. Il n'a rien à calculer lors d'une visite. Pourtant, à chaque affichage d'une page, un processus PHP démarre, interroge une base de données et en assemble du HTML. Toute la surface d'attaque va avec : PHP lui-même, le CMS, des dizaines de plugins, la base de données et la connexion d'administration.

C'est comme faire imprimer une carte de visite toute neuve pour chaque personne intéressée, en laissant l'imprimerie ouverte jour et nuit.

Bien sûr, il existe des cas où du code côté serveur est nécessaire : une boutique en ligne, un portail client, une logique de réservation complexe. Il doit alors être exploité de façon professionnelle et entretenu en continu. Pour la majorité des sites de PME, PHP reste toutefois un risque sans contrepartie.

Comment Revivra résout le problème à la racine

Avec Revivra, nous modernisons précisément ce type de sites. Vous saisissez l'URL existante et répondez à quelques questions sur le design souhaité. Quelques minutes plus tard, une présence repensée est prête, à partir de vos contenus existants. Face à php2shell, ces points comptent surtout :

1. Revivra produit des sites statiques en pur HTML, CSS et JavaScript, construits une seule fois. Il n'y a ni PHP, ni base de données, ni plugins. Lors de l'affichage d'une page, aucun code serveur ne s'exécute qui puisse être exploité, c'est pourquoi une faille comme php2shell ne concerne pas un site Revivra.
2. Les pages proviennent directement de l'infrastructure de Cloudflare (stockage d'objets et réseau edge). Vous n'avez aucun serveur web à gérer. Il n'y a pas de serveur d'hébergement mutualisé avec mod_php ou PHP-FPM, pas de cPanel et pas de connexion d'administration sur votre site qui subirait des attaques par force brute jour et nuit. Les pages statiques servies depuis l'edge se chargent en outre rapidement, ce qui plaît autant aux visiteurs qu'à Google.
3. Les formulaires de contact passent par un service distinct, exploité par nos soins. À côté de vos pages, il n'y a donc pas de contact.php, comme on en trouve sur d'innombrables anciens sites.
4. Nous nous occupons des mises à jour. Revivra est un hébergement géré : vous ne recevez pas de courriel de l'hébergeur vous demandant de mettre à jour votre version de PHP, vous ne jouez pas à la roulette des mises à jour de plugins et vous ne payez pas d'heures d'agence pour des correctifs de sécurité.
5. La modification reste simple. Vous ajustez les contenus dans l'éditeur Revivra, puis le site est reconstruit et publié. Aucun code n'est nécessaire.
6. Pour les agences, il existe White Label. Celui qui gère des dizaines de sites clients sous PHP doit de toute façon intervenir cette semaine sur chacun d'eux. Avec Revivra, ils peuvent être migrés sous votre propre marque vers une base statique qui demande peu de maintenance, au lieu de tout recommencer à la prochaine CVE critique.

Ce que vous devriez faire concrètement maintenant

Votre site tourne-t-il aujourd'hui sur PHP, par exemple sur WordPress, Joomla, Drupal, TYPO3 ou un développement maison ?

1. Posez la question dès aujourd'hui. Faites confirmer par votre hébergeur ou votre agence que PHP a été mis à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou vers une version corrigée de votre distribution).
2. Si PHP 8.1 ou une version plus ancienne est encore en service, c'est une urgence, car il n'existe plus de support officiel. Faites la mise à niveau, ou placez d'ici là le site derrière un pare-feu applicatif web (WAF) ou mettez-le hors ligne.
3. Vérifiez les règles de protection. Cloudflare a déployé des règles WAF contre les schémas d'attaque connus, selon ses propres indications pour tous ses clients, y compris dans l'offre gratuite. De nombreux hébergeurs ont suivi côté serveur. Posez la question.
4. Ensuite, la question stratégique vaut la peine d'être posée : faut-il vraiment que cela se passe de la même façon la prochaine fois ?

Sources

• Wiz Research : « PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet »
• Help Net Security : « PHP2Shell: Critical PHP vulnerabilities patched, update now! »
• Huntress : « Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities »