Le 21 octobre 2026, deux failles de sécurité critiques du langage PHP ont provoqué une mobilisation des acteurs du Web à l'échelle internationale. Baptisées PHP2Shell, ces vulnérabilités peuvent permettre à des pirates informatiques d'exécuter du code malveillant sur des serveurs à distance, sans disposer d'identifiants de connexion. Avec une gravité évaluée à 9,2 sur 10, elles concernent une technologie qui fait fonctionner une grande partie des sites Internet. Les organismes publics de cybersécurité, les entreprises spécialisées et les hébergeurs ont rapidement engagé des mesures de protection. L'agence web NetPilote revient sur le fonctionnement de ces failles, leur portée et les actions mises en ?uvre par son partenaire d'hébergement Infomaniak.
PHP est un langage de programmation open source utilisé pour développer des sites Internet et des applications Web dynamiques. Contrairement au HTML, qui permet de structurer les informations affichées à l'écran, PHP exécute des instructions directement sur le serveur qui héberge le site. Il intervient notamment lorsqu'un internaute remplit un formulaire, effectue une recherche, se connecte à un espace personnel ou consulte des informations provenant d'une base de données. Le serveur traite alors la demande et transmet au navigateur le résultat correspondant.
De nombreux systèmes de gestion de contenu, appelés CMS, reposent sur PHP. C'est notamment le cas de WordPress, PrestaShop, Drupal ou Joomla, ainsi que notre CMS souverrain. Le langage constitue ainsi une composante technique essentielle au fonctionnement de millions de sites vitrines, boutiques en ligne et applications professionnelles. Lorsqu'une vulnérabilité touche PHP, ses conséquences potentielles dépassent donc largement un logiciel ou un éditeur particulier.
Un site Internet repose sur plusieurs couches techniques qui remplissent des fonctions distinctes. Le CMS permet d'administrer les contenus, les modules apportent des fonctionnalités supplémentaires et PHP exécute les traitements nécessaires sur le serveur. Une erreur de sécurité peut se situer à chacun de ces niveaux. Dans le cas de PHP2Shell, les vulnérabilités concernent le moteur d'exécution PHP, et non un formulaire particulier ou une extension défectueuse.
Cette distinction explique pourquoi la mise à jour d'un CMS ne suffit pas à corriger les failles récemment découvertes. Même si les composants d'un site sont correctement maintenus, le serveur peut rester exposé lorsqu'il utilise une version vulnérable du moteur PHP. La sécurité d'un site Internet dépend donc également de son environnement d'hébergement et de la maintenance des logiciels qui assurent son fonctionnement.
Le 21 octobre 2026, l'équipe de sécurité de PHP a publié les correctifs de deux vulnérabilités identifiées sous les références CVE-2026-109618 et CVE-2026-109619. Toutes deux obtiennent une note de 9,2 sur 10 selon le système international CVSS v4.0, utilisé pour évaluer la gravité des failles informatiques. Elles peuvent conduire à une exécution de code à distance, appelée Remote Code Execution ou RCE, sans authentification préalable de l'attaquant.
La première vulnérabilité concerne une corruption de mémoire lors d'un épuisement des ressources disponibles. La seconde provient de la réutilisation de données mémoire devenues invalides après leur libération. Ces dysfonctionnements peuvent affecter plusieurs environnements d'exécution PHP, notamment Apache avec mod_php, PHP-FPM et PHP-CGI. Selon l'équipe PHP, le risque est particulièrement élevé avec mod_php, pour lequel une exploitation a été démontrée avant même l'exécution du code du site.
Lorsqu'un internaute interagit avec un site Internet, son navigateur envoie une requête HTTP au serveur. PHP reçoit et traite certaines informations nécessaires à cette opération. Dans le cas d'un envoi de document, par exemple, le moteur peut préparer les données du fichier et réserver temporairement de la mémoire pour leur traitement. Ce fonctionnement est normal, mais les vulnérabilités PHP2Shell peuvent être exploitées lorsque des erreurs perturbent cette gestion interne de la mémoire.
Un pirate informatique peut transmettre des requêtes spécifiquement construites pour provoquer ces dysfonctionnements. PHP risque alors de manipuler des données incomplètement initialisées ou des références pointant vers une mémoire déjà libérée. Si l'exploitation réussit, le hacker peut détourner l'exécution du programme et faire exécuter ses propres instructions sur le serveur. La vulnérabilité se situe dans la manière dont PHP gère certaines données en mémoire.
Selon les statistiques publiées par W3Techs le 22 octobre 2026, PHP est utilisé par 69,3 % des sites Internet dont le langage de programmation côté serveur a pu être identifié, ce explique l'importance de l'alerte internationale. Cette vulnérabilité située dans le langage PHP concerne des sites de secteurs très différents, indépendamment de leur taille, de leur activité ou de leur système de gestion de contenu.
Cette proportion ne signifie toutefois pas que 69,3 % des sites Internet sont vulnérables ou ont été piratés. L'exposition réelle dépend notamment de la version PHP utilisée, des correctifs installés et de la configuration du serveur. Le chiffre permet avant tout de mesurer l'importance de PHP dans l'écosystème du Web et le nombre potentiellement considérable d'organisations concernées par les opérations de sécurité.
Les données de W3Techs montrent également que 65,3 % des sites utilisant PHP fonctionnent avec une version majeure PHP 8, contre 26,9 % pour PHP 7 et 7,7 % pour PHP 5. Autrement dit, 34,7 % des sites PHP identifiés utilisent encore une version majeure antérieure à PHP 8. Cette situation complique la gestion des vulnérabilités, car les anciennes branches ne bénéficient plus nécessairement des mises à jour de sécurité publiées par l'équipe officielle de PHP.
Les correctifs du 21 octobre concernent les versions PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Pour les versions plus anciennes, certains fournisseurs assurent une maintenance complémentaire et peuvent intégrer des correctifs sans modifier le numéro de version affiché. Cette pratique, appelée rétroportage, permet de sécuriser un logiciel ancien lorsque son fournisseur assure encore cette maintenance. En revanche, une version obsolète qui ne bénéficie plus d'aucun correctif doit faire l'objet d'une migration.
Une exécution de code à distance peut donner à un hacker la possibilité d'effectuer des opérations normalement réservées au processus qui fait fonctionner l'application. Selon les droits accordés à ce processus et la configuration du serveur, les conséquences peuvent inclure la modification de fichiers, l'installation de programmes malveillants, l'accès à certaines informations confidentielles ou l'interruption du service. Une exploitation réussie ne signifie pas systématiquement que le hacker obtient tous les privilèges du serveur, mais elle constitue une intrusion potentiellement grave.
Pour une entreprise, les répercussions peuvent dépasser les seuls aspects informatiques. L'indisponibilité d'un site Internet empêche les visiteurs de consulter les services proposés, de passer commande ou de transmettre une demande de devis. Une modification malveillante des contenus peut également porter atteinte à la réputation de l'entreprise et à son référencement naturel. Lorsqu'un site est compromis, la remise en état peut nécessiter des investigations, une restauration des données et plusieurs opérations de vérification avant un retour à un fonctionnement normal.
Le 21 octobre 2026, Amazon Threat Intelligence a révélé avoir détecté une première tentative d'exploitation dès le 17 octobre 2026, soit quatre jours avant la publication officielle des correctifs. Cette activité a été identifiée grâce à MadPot, son réseau de systèmes leurres destinés à observer les comportements malveillants. D'autres tentatives ont été détectées le 21 octobre, avant puis après la divulgation publique.
Amazon indique que l'exploitation s'est ensuite largement développée dans les activités observées par ses dispositifs de surveillance. Les chercheurs précisent cependant qu'il n'est pas possible de déterminer si toutes les premières tentatives auraient réussi sur des systèmes de production. Il convient donc de distinguer les attaques détectées des compromissions effectivement confirmées. Au 22 octobre 2026, aucun bilan mondial suffisamment documenté ne permet d'établir précisément le nombre d'entreprises victimes de ces deux vulnérabilités.
En France, le Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, le CERT-FR, rattaché à l'ANSSI, a publié le 21 octobre 2026 une alerte officielle référencée CERTFR-2026-ALE-014. Le document présente les systèmes affectés, les risques d'exécution de code à distance et les mesures techniques disponibles. Pour les environnements utilisant des versions PHP qui ne sont plus maintenues, l'organisme recommande notamment d'isoler les équipements concernés puis d'organiser leur migration vers une version corrigée.
Le CERT-FR décrit également des mesures provisoires visant à réduire les possibilités d'exploitation. Parmi elles figure la désactivation du paramètre session.upload_progress.enabled, associé au suivi de progression des fichiers envoyés vers un serveur. Cette configuration n'atténue toutefois qu'une partie des risques identifiés. Le filtrage de certaines requêtes HTTP au moyen d'un pare-feu applicatif peut également réduire l'exposition, mais ces dispositions ne remplacent pas les correctifs de sécurité.
À l'échelle européenne, la Commission européenne, l'ENISA, CERT-EU, Europol et le réseau des centres nationaux de réponse aux incidents de cybersécurité ont diffusé une déclaration commune le 21 octobre 2026. Les institutions demandent aux organisations d'identifier leurs applications utilisant PHP, de se rapprocher de leurs hébergeurs et prestataires informatiques, puis d'appliquer les mises à jour disponibles. Les systèmes directement accessibles depuis Internet doivent être traités en priorité.
Cette mobilisation souligne le caractère transversal de la vulnérabilité. Les organismes européens rappellent que certaines applications commerciales peuvent intégrer PHP sans que leurs utilisateurs en aient connaissance. Les entreprises doivent donc évaluer non seulement leurs sites Internet, mais également les logiciels et services dont elles dépendent. La coordination entre éditeurs, hébergeurs, administrateurs et prestataires techniques est essentielle pour limiter la durée d'exposition des systèmes vulnérables.
Les entreprises spécialisées dans les infrastructures numériques ont également adapté leurs protections. Amazon a mobilisé ses capacités d'analyse des menaces pour identifier les tentatives d'exploitation et recommander une vérification des journaux de sécurité remontant au moins au 17 octobre 2026. De son côté, Cloudflare a annoncé le déploiement de protections spécifiques au sein de son pare-feu applicatif Web, appelé WAF, afin de détecter et de bloquer certaines requêtes malveillantes. Ces protections ont été activées par défaut pour les clients concernés, y compris ceux utilisant son offre gratuite.
Cloudflare indique avoir commencé à préparer ses protections avant la publication officielle et avoir observé des tentatives d'adaptation des attaques pour contourner les filtres. L'entreprise a notamment développé une méthode associant l'analyse des requêtes reçues et des réponses renvoyées par les serveurs. Cette approche améliore la détection de certaines exploitations, mais ne corrige pas le fonctionnement interne de PHP. Les deux entreprises rappellent donc que la mise à jour du moteur demeure indispensable.
Infomaniak, partenaire d'hébergement de l'agence web NetPilote, a communiqué sur la situation dès le 21 octobre. Dans l'attente de l'application des correctifs, l'hébergeur suisse a déployé plusieurs mesures préventives sur ses infrastructures. Il annonçait notamment la désactivation temporaire du paramètre session.upload_progress.enabled, afin de limiter l'une des possibilités d'exploitation identifiées. Cette décision pouvait affecter l'affichage des barres de progression lors de l'envoi de fichiers, sans nécessairement empêcher leur transfert.
L'hébergeur a également suspendu certaines fonctionnalités d'envoi de fichiers sur plusieurs de ses services, notamment kSuite, SwissTransfer et ses solutions audiovisuelles. L'accès à phpMyAdmin a également été temporairement interrompu avant d'être rétabli. Ces restrictions ont permis de réduire certains risques pendant les opérations de sécurisation. Infomaniak a réactivé progressivement ses services après les vérifications nécessaires, plusieurs d'entre eux ayant retrouvé leur fonctionnement dès la soirée du 21 octobre.
Le 22 octobre 2026 au matin, Infomaniak a confirmé le déploiement des correctifs de sécurité sur l'ensemble de son infrastructure d'hébergement Web mutualisé et de serveurs Cloud, pour les versions PHP 7.4, 8.0, 8.1, 8.2, 8.3, 8.4 et 8.5. L'hébergeur précise que les numéros de version restent inchangés, bien que les corrections aient été appliquées. Cette méthode permet notamment de protéger certaines branches anciennes sans imposer immédiatement un changement de version majeure aux applications hébergées.
La situation reste différente pour les installations antérieures à PHP 7.4, qui ne figurent pas parmi les versions corrigées en ce jour. Infomaniak recommande leur migration vers une version plus récente. Par ailleurs, le rétablissement de certaines fonctionnalités de transfert de fichiers était encore en cours et les migrations vers les nouvelles infrastructures demeuraient temporairement suspendues. Le rétablissement complet de l'ensemble des services de l'hébergeur Infomaniak est en cours.
L'agence web NetPilote confie l'hébergement des sites Internet qu'elle gère à Infomaniak. Ce partenariat associe les infrastructures de l'hébergeur suisse à l'accompagnement technique de notre agence. Certifié ISO 27001 pour la gestion de la sécurité de l'information, Infomaniak dispose de procédures et de ressources spécialisées pour intervenir sur ses environnements d'hébergement.
Dans le cas de PHP2Shell, les communications officielles de notre hébergeur permettent de confirmer l'application des correctifs sur les branches PHP 7.4 à 8.5. Pour les sites fonctionnant avec des versions antérieures, une vérification de leur environnement technique est nécessaire afin de déterminer les éventuelles mesures complémentaires.
La sécurité d'un site Internet ne s'arrête pas à sa création
Les événements des 21 et 22 octobre rappellent qu'un site Internet est un outil professionnel dont l'environnement technique évolue constamment. Les nouvelles vulnérabilités peuvent concerner des technologies présentes depuis plusieurs années, y compris lorsque le site fonctionne normalement et que ses contenus sont régulièrement actualisés. La surveillance des versions logicielles, l'application des mises à jour et la compatibilité des développements jouent donc un rôle essentiel dans sa pérennité.
Chez NetPilote, nous accompagnons également les entreprises dans leur gestion technique et l'évolution de leur présence numérique. Nos prestations d'audit de site Web permettent notamment d'étudier les performances et différents aspects techniques d'un site pour identifier les améliorations nécessaires. Pour les anciennes versions PHP, une évolution peut nécessiter des adaptations du code ou du CMS afin de conserver les fonctionnalités du site après migration.
Nos experts travaillent actuellement à la vérification de votre version PHP et aux différents correctifs si nécessaire.
Les vulnérabilités PHP2Shell illustrent l'importance de la réactivité face aux nouvelles menaces informatiques. En quelques jours, les chercheurs, les organismes publics et les acteurs de l'hébergement ont dû coordonner leurs interventions pour limiter l'exploitation de deux failles critiques. Les correctifs déployés par Infomaniak sont une réponse concrète pour les versions PHP concernées par son annonce du 22 octobre 2026. Ils rappellent également qu'une protection efficace dépend autant des logiciels utilisés que de la capacité des prestataires à intervenir rapidement.
Pour une entreprise, disposer d'un site Internet professionnel implique de veiller à sa sécurité, à son fonctionnement et à son évolution technique dans la durée. L'agence web NetPilote vous accompagne dans la création, l'hébergement et la maintenance de votre site Internet, avec un interlocuteur technique et des solutions adaptées à vos besoins. Vous souhaitez faire le point sur l'environnement technique de votre site ou envisager sa modernisation ? Contactez notre agence web à Versailles.
Nos sources documentaires :
Patrick BERTHET - Expert Web
