Faille PHP php2shell : faire corriger votre serveur

La faille php2shell (CVE-2026-109618 et CVE-2026-109619), révélée le 21 octobre 2026, permet d'exécuter du code à distance sans authentification sur les serveurs PHP. Genisoft vérifie votre version de PHP, applique le correctif (PHP 8.4.27, 8.3.36 ou 8.2.35), redémarre PHP-FPM, puis contrôle que votre boutique PrestaShop ou votre site WordPress n'a pas été compromis.

Mis à jour le 23 octobre 2026

Demander un devis gratuit Appeler l'agence

Comprendre la faille

Pourquoi php2shell est-elle si dangereuse ?

Ce que résume notre analyse technique de la faille php2shell.

Exécution de code à distance

Une requête d'envoi de formulaire forgée suffit, sans compte ni mot de passe, avec un score de gravité CVSS entre 9,2 et 10.

Avant le CMS

La faille touche le moteur PHP lui-même : elle s'exploite avant que PrestaShop ou WordPress ne s'exécutent.

Plugins impuissants

Wordfence, Sucuri ou les modules de sécurité PrestaShop se chargent trop tard pour bloquer l'attaque.

Vol de cartes en mémoire

Le scénario redouté : un code espion en mémoire sur la page de paiement, sans modifier aucun fichier, donc invisible aux contrôles d'intégrité.

Notre intervention

Comment se déroule la correction ?

Une intervention courte, suivie d'une vérification du site.

Vérification

Nous identifions la version de PHP et de PHP-FPM, l'hébergement (dédié, VPS ou mutualisé) et les sites concernés.

Mise à jour

Installation de la version corrigée, redémarrage de PHP-FPM pour remplacer les anciens processus, et mesure de protection temporaire si la mise à jour doit attendre.

Contrôle du site

Recherche de signes de compromission : erreurs de segmentation de PHP-FPM, webshells, comptes administrateurs cachés, scripts sur la page de commande.

Cas particuliers

Votre hébergement change-t-il la marche à suivre ?

Serveur dédié ou VPS

La mise à jour se fait directement sur le serveur (paquets Debian, Ubuntu, AlmaLinux ou Rocky), suivie du redémarrage de PHP-FPM. Sans ce redémarrage, les processus continuent d'utiliser l'ancienne version vulnérable.

Hébergement mutualisé

Le correctif dépend de l'hébergeur. Nous vérifions la version réellement utilisée par votre site, sélectionnons une version corrigée si le panneau d'hébergement le permet, et vous aidons à relancer l'hébergeur sinon.

PHP 8.1 ou 7.4

Ces versions ne reçoivent plus de correctif officiel. Il faut passer à PHP 8.2 ou plus, ce qui demande souvent de vérifier la compatibilité des modules et du thème : c'est le travail d'une migration PrestaShop ou d'une mise à jour WordPress.

Questions fréquentes

Vos questions sur la faille PHP php2shell

Mon site est-il concerné par la faille php2shell ?

Oui si votre serveur utilise PHP 8.4 jusqu'à 8.4.26, PHP 8.3 jusqu'à 8.3.35, PHP 8.2 jusqu'à 8.2.34, ou PHP 8.1 et 7.4, quelle que soit l'application : PrestaShop, WordPress ou autre.

Comment connaître ma version de PHP ?

En ligne de commande avec php -v, dans le panneau de votre hébergeur, ou dans PrestaShop via Paramètres avancés > Informations. Sur WordPress, la version figure dans Outils > Santé du site > Informations.

Mettre à jour PrestaShop ou WordPress suffit-il ?

Non. La faille est dans PHP, pas dans le CMS. C'est la version de PHP du serveur qu'il faut mettre à jour, puis redémarrer PHP-FPM.

Un pare-feu comme Cloudflare me protège-t-il ?

Partiellement. Un pare-feu filtre les signatures connues, mais il peut être contourné. Seule la mise à jour de PHP corrige réellement la faille.

Combien coûte la correction ?

L'intervention est facturée 90 € de l'heure. Le temps dépend de l'hébergement et du nombre de sites ; il vous est annoncé avant de commencer.