Ce qu’est la faille PHP2Shell
Votre site WordPress ne fonctionne pas tout seul. Il est écrit dans un langage informatique appelé PHP, installé sur le serveur de votre hébergeur, qui fabrique vos pages à chaque visite. PHP2Shell est le surnom donné à deux failles graves découvertes dans PHP lui-même.
Ces failles permettent à un inconnu d’exécuter ses propres commandes sur le serveur, sans mot de passe. Concrètement, il peut prendre le contrôle du site : modifier des pages, installer des fichiers malveillants ou rediriger vos visiteurs. L’équipe qui développe PHP les a classées critiques, et des tentatives d’attaque ont été observées.
Pour les spécialistes, elles portent les références CVE-2026-109618 et CVE-2026-109619. Si votre hébergeur emploie ces codes, il parle bien du même problème.
Pourquoi mettre à jour WordPress ne suffit pas
On a pris l’habitude, à raison, de mettre à jour WordPress, son thème et ses extensions dès qu’une faille est annoncée. Cette fois, ce réflexe ne change rien. La faille n’est pas dans WordPress, elle est dans le moteur qui le fait tourner.
C’est un peu comme une voiture : vous pouvez changer les pneus et les essuie-glaces, si le défaut est dans le moteur, il reste là. WordPress a d’ailleurs indiqué qu’aucune mise à jour de son côté n’était prévue pour cette faille.
Les extensions de sécurité ne sont pas non plus une protection fiable. L’attaque peut se produire avant même que WordPress ne démarre, à un moment où l’extension n’a encore rien pu faire. La seule correction complète est une version de PHP qui contient le correctif.
Savoir quelle version de PHP utilise votre site
Bonne nouvelle : vous pouvez le vérifier vous-même en deux minutes. Dans votre tableau de bord WordPress, ouvrez le menu « Outils », puis « Santé du site », et cliquez sur l’onglet « Infos ». Dépliez la rubrique « Serveur » : la version de PHP y est indiquée.
Le correctif est inclus à partir des versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et dans toutes les versions suivantes de chacune de ces branches. Une branche, c’est une famille de versions qui commencent par les mêmes chiffres, comme 8.3. Si votre site affiche, par exemple, 8.3.36 ou plus, il est corrigé.
Si votre site tourne en PHP 8.1 ou plus ancien, la situation est plus sérieuse. Ces versions ne reçoivent plus aucune mise à jour officielle. Certains hébergeurs y ajoutent eux-mêmes le correctif, mais ce n’est pas garanti : il faut leur poser la question.
Ce que vous devez demander à votre hébergeur
Chez la plupart des hébergeurs, c’est lui qui installe et met à jour PHP. Écrivez-lui, par le support ou par e-mail, pour lui demander si le correctif de PHP2Shell est appliqué sur votre serveur. Demandez une réponse claire, par écrit.
Ne vous fiez pas seulement au numéro de version affiché. Certains hébergeurs appliquent le correctif sans changer ce numéro, d’autres affichent une version récente qui n’est pas encore corrigée. Seul votre hébergeur peut vous confirmer ce qui est réellement installé.
Beaucoup d’hébergements mutualisés proposent aussi, dans leur espace client, un menu pour choisir la version de PHP. Si votre site est réglé sur une version ancienne, c’est le moment d’en changer. Si vous gérez votre propre serveur, appliquez sans attendre les mises à jour fournies par votre distribution.
Changer de version de PHP sans casser votre site
Passer d’une ancienne version de PHP à une récente demande un peu de précaution. Un thème ou une extension très ancienne peut ne pas fonctionner avec une version récente, et provoquer une page blanche ou un message d’erreur. Le risque est réel, mais il se maîtrise.
Commencez toujours par une sauvegarde complète du site, fichiers et base de données. Mettez ensuite à jour WordPress, votre thème et vos extensions, car leurs dernières versions sont prévues pour un PHP récent. Changez enfin la version de PHP, puis parcourez votre site : pages principales, formulaire de contact, boutique si vous en avez une.
En cas de problème, revenez à l’ancienne version le temps de trouver l’extension en cause. Si votre site est trop ancien pour suivre, la question d’une refonte se pose : le guide refaire son site ou le garder vous aide à trancher.
Et si votre site a déjà été attaqué ?
Une faille aussi grave peut avoir été exploitée avant que le correctif ne soit installé. Une fois PHP à jour, la porte est refermée, mais un éventuel intrus peut avoir laissé des traces derrière lui. Restez donc attentif dans les semaines qui suivent.
Redirections étranges, pages que vous n’avez pas créées, compte administrateur inconnu, alerte de Google ou de votre hébergeur : ce sont les signes à surveiller. Le guide mon site WordPress a-t-il été piraté détaille comment les repérer et quoi faire.
Vous n’êtes pas à l’aise avec tout cela, ou votre hébergeur tarde à répondre ? Que vous soyez dans l’Yonne ou ailleurs, je peux vérifier votre version de PHP, faire le point avec votre hébergeur et mettre votre site à jour. Ce type d’intervention est facturé 50 €/h, et vous pouvez me décrire votre situation.
Questions fréquentes
Mettre à jour WordPress suffit-il à me protéger ?
Non. La faille se trouve dans PHP, pas dans WordPress. Gardez WordPress à jour, mais c'est la version de PHP installée sur votre serveur qui doit être corrigée.
Une extension de sécurité peut-elle bloquer l'attaque ?
Pas de façon fiable. L'attaque peut se déclencher avant même que WordPress ne démarre, donc avant que l'extension n'ait pu agir.
Mon site est sur WordPress.com : suis-je concerné ?
Automattic, qui gère WordPress.com, indique que ses plateformes sont protégées. Ce sont surtout les sites installés chez un hébergeur classique qui doivent vérifier.
