PHP2Shell, une faille qui concernait presque tous les sites
PHP est le langage qui exécute l'écrasante majorité des sites web, dont la totalité des sites Joomla et WordPress. La vulnérabilité « PHP2Shell » (références officielles CVE-2026-109618 et CVE-2026-109619) a été classée critique, avec un score de gravité de 9,2 sur 10. Dans certaines conditions, elle pouvait permettre à un attaquant d'exécuter du code à distance sur un serveur non protégé.
Sa particularité : elle touchait le moteur PHP lui-même, et non une extension particulière. Autrement dit, n'importe quel site fonctionnant sur une version vulnérable était potentiellement exposé, quelle que soit sa technologie. Des tentatives d'exploitation automatisées ont été observées à l'échelle mondiale dans les heures qui ont suivi la publication.
Les mises à jour déployées sur nos serveurs
1. La mesure de protection immédiate
Dès l'annonce de la faille, et avant même la disponibilité du correctif, nous avons appliqué sur l'ensemble de nos serveurs la mesure de protection temporaire recommandée par l'équipe PHP. Nos sites étaient ainsi protégés sans attendre.
2. Les correctifs officiels, appliqués le jour même
L'équipe PHP a publié ses versions correctives le 21 octobre 2026 à 16 h. Nous les avons installées le jour même, sur l'ensemble de nos serveurs, pour toutes les versions concernées :
- PHP 8.5 → mis à jour en 8.5.12
- PHP 8.4 → mis à jour en 8.4.27
- PHP 8.3 → mis à jour en 8.3.36
- PHP 8.2 → mis à jour en 8.2.35
3. La protection des versions plus anciennes (support étendu)
Certaines applications reposent encore sur des versions de PHP qui ont atteint leur fin de vie officielle (PHP 5.6, 7.4, 8.0, 8.1) et qui, à ce titre, ne reçoivent plus de correctifs de la part de l'équipe PHP. Ce sont historiquement les plus exposées.
Pour ces sites, nous avons souscrit à un programme professionnel de support étendu (Extended Lifecycle Support). Ce dispositif fournit des versions de PHP maintenues et corrigées en sécurité, qui intègrent le correctif de la faille PHP2Shell. Concrètement, même un site sur une version ancienne de PHP bénéficie désormais d'un moteur protégé, sans changement visible de son fonctionnement.
Une protection renforcée au-delà de PHP
En parallèle, nous avons renforcé notre pare-feu applicatif et notre surveillance du trafic, afin de bloquer les tentatives d'exploitation avant qu'elles n'atteignent les sites. Cette vigilance nous a également permis de traiter, dans la foulée, une seconde alerte critique concernant une extension de création de pages très répandue. Les sites nécessitant une intervention ont été vérifiés et remis en état par nos soins, et les clients concernés sont contactés directement.
Et de votre côté ?
Dans l'immense majorité des cas, vous n'avez rien à faire : la protection est assurée au niveau du serveur, de manière transparente. Ces événements illustrent le rôle, souvent invisible, de nos offres de maintenance et d'hébergement supervisé : veille continue, application des mises à jour, pare-feu, sauvegardes et intervention rapide.
Nos recommandations restent simples :
- veillez à conserver un contrat de maintenance à jour, meilleure garantie de réactivité ;
- signalez-nous tout comportement inhabituel de votre site ;
- en cas de doute, contactez-nous.
Pour toute question sur la sécurité de votre site, notre équipe reste à votre disposition.
L'équipe Sensomedia