# PHP2Shell: les failles PHP d'octobre 2026 et la vérification de 15 minutes pour votre site Web

> Amen Security Team · 2026-10-24T13:55:29.560Z · security

Le 21 octobre 2026, le Centre canadien pour la cybersécurité a publié l'alerte AL26-026 au sujet de deux failles critiques de PHP — le langage de programmation derrière la plupart du Web, y compris la plupart des sites WordPress, des portails clients et des sites Web de petites entreprises. Les failles, répertoriées sous CVE-2026-109618 et CVE-2026-109619 et surnommées « PHP2Shell », sont cotées 9,2 sur 10 pour leur gravité. Un attaquant qui peut joindre un serveur PHP exposé sur Internet et non corrigé n'a pas besoin de se connecter pour exécuter du code sur ce serveur.
C'est ce dernier point qui rend cette semaine différente d'un simple avis de correctif. Une preuve de concept d'exploitation est publique, la divulgation a fuité un jour plus tôt, si bien que les attaquants et les défenseurs ont appris l'existence des failles en même temps, et Cloudflare a signalé des millions de tentatives d'exploitation après que les faiblesses sont devenues publiques. Des gouvernements ont mis des sites Web hors ligne par précaution — aux Pays-Bas, en Finlande et en France, et plus près de chez nous, une commission scolaire du Québec a interrompu le service sur plusieurs de ses sites pendant que les techniciens s'occupaient du problème.
Si le site Web de votre entreprise fonctionne avec PHP — et s'il s'agit de WordPress, c'est presque certainement le cas —, c'est une semaine pour corriger immédiatement, pas un jour. La vérification ci-dessous prend environ quinze minutes.
En 30 secondes
- Deux failles critiques de PHP (CVE-2026-109618 et CVE-2026-109619), divulguées le 21 octobre 2026, permettent à un attaquant non authentifié d'exécuter du code sur un serveur PHP non corrigé. Gravité: 9,2 sur 10.
- Vous êtes touché si votre site fonctionne avec PHP sous les versions corrigées: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, selon votre branche. PHP 8.1 et les versions antérieures ne reçoivent plus du tout de mises à jour du projet PHP.
- Le piège: mettre à jour WordPress, ou installer une extension de sécurité, ne met pas à jour l'environnement d'exécution PHP sous-jacent. Demandez à votre hébergeur si l'environnement lui-même a été corrigé — c'est la question qui compte.

Ce qui s'est réellement brisé
Les deux failles sont décrites comme des failles critiques de type « Use After Free » dans PHP. En termes simples: une faille dans la façon dont PHP gère la mémoire permet à un attaquant distant, sans aucune connexion, d'exécuter du code arbitraire sur le serveur. C'est la pire combinaison qu'une faille de site Web puisse présenter — aucun identifiant requis, un contrôle total comme prix.
PHP soutient la majorité du Web. WordPress, la plateforme de création de sites Web la plus utilisée au monde, fonctionne avec lui, tout comme une énorme part des portails clients, des outils de réservation et des logiciels de gestion de cabinet dont les petites entreprises dépendent chaque jour. Une faille à ce niveau ne se soucie pas de la qualité de vos mots de passe.
Êtes-vous touché? Vérifiez votre branche
Le projet PHP a publié des correctifs le 21 octobre 2026. Trouvez la branche qu'utilise votre site et comparez:
Branche
Mettre à jour au moins vers

PHP 8.5
8.5.12

PHP 8.4
8.4.27

PHP 8.3
8.3.36

PHP 8.2
8.2.35

Si votre site fonctionne avec PHP 8.1 ou une version antérieure, aucune mise à jour ordinaire ne vous attend: ces branches ne reçoivent plus de mises à jour du projet PHP. Certains fournisseurs d'hébergement et distributeurs de soutien à long terme fournissent leurs propres correctifs pour les branches plus anciennes; confirmez donc votre entente de soutien avec votre hébergeur plutôt que de présumer qu'une mise à jour arrivera.
Pourquoi celle-ci s'est propagée si vite
La plupart des histoires de vulnérabilités avancent à la vitesse des services TI. Celle-ci a avancé à la vitesse d'Internet. Des détails ont fuité en ligne un jour avant la divulgation prévue, les correctifs ont été publiés en urgence le matin du 21 octobre, et les attaquants ont commencé à cibler les failles quelques heures après qu'elles sont devenues publiques.
Le Centre canadien a déclaré qu'il n'avait pas relevé d'exploitation active au moment de son alerte — et a ajouté que cela « peut changer rapidement ». Cette phrase résume toute la semaine: la fenêtre entre la divulgation et l'exploitation de masse se mesure maintenant en heures, pas en semaines.
Notez aussi ce que l'alerte n'a pas dit. Elle n'a pas recommandé de mettre les systèmes hors ligne en général. Les fermetures gouvernementales sont allées plus loin que les conseils publiés de l'agence — une précaution prise par des organisations qui ont décidé qu'elles ne pouvaient pas corriger assez vite, pas une instruction pour tous les autres.
La vérification de 15 minutes
Suivez ces cinq étapes, dans l'ordre. Le visuel dans l'article ci-dessous reprend la même séquence — gardez-le à côté de vous pendant la vérification.
- Trouvez votre version de PHP. Votre panneau d'hébergement l'affiche généralement, ou votre développeur ou votre hébergeur peut vous la donner en un message. Notez la branche et le numéro de version complet.
- Posez à votre hébergeur une question exacte: l'environnement d'exécution PHP lui-même a-t-il été corrigé vers la version corrigée pour notre branche? Pas « sommes-nous à jour » — cette question reçoit une réponse sur la mauvaise couche. Vous voulez la version de l'environnement, confirmée.
- Mettez aussi le site à jour — mais sachez ce que cela fait et ne fait pas. Mettez à jour WordPress, votre thème et vos extensions. Cela ferme d'autres brèches. Cela ne corrige pas PHP.
- Examinez vos journaux pour y déceler des signes d'activité suspecte. Votre hébergeur peut vous aider. Vous cherchez tout ce qui est inhabituel autour et après le 21 octobre — des requêtes inattendues, des schémas d'accès inconnus.
- Si la correction ne peut pas avoir lieu tout de suite, réduisez l'exposition. Le conseil du Centre canadien pour ce cas est d'envisager d'isoler les applications exposées sur Internet des réseaux publics jusqu'à ce que le correctif soit appliqué. N'attendez pas simplement avec le site entièrement exposé.

La vérification de 15 minutes: Version → Question à l'hébergeur → Mises à jour du site → Examen des journaux → Isolez si vous devez attendre.Les attaquants et les défenseurs ont appris l'existence de ces failles en même temps. La seule avance qui reste, c'est de corriger en premier.

Ce que nous vérifions quand nous regardons
Quand Amen Security examine un site Web après une alerte comme celle-ci, le passage est délibérément ennuyeux: la version de PHP sur chaque environnement (production, préproduction et le sous-domaine oublié), les produits tiers et les conteneurs qui intègrent leurs propres installations de PHP, l'examen des journaux, et un test des fonctions importantes du site après le correctif — parce qu'un correctif qui brise la caisse ou la réservation est un correctif qu'on annule. Cette étape de vérification fait partie du travail, pas une réflexion après coup.
C'est par ce regard en lecture seule que s'ouvre notre [évaluation gratuite](https://amensecurity.ca/fr/contact): l'inventaire des versions et l'exposition, par écrit, avant que quoi que ce soit change.
Questions que les entreprises posent cette semaine
Mon site WordPress est-il touché?
S'il fonctionne avec PHP sous les versions corrigées ci-dessus, oui — WordPress fonctionne avec PHP, donc la faille se situe sous l'ensemble du site, quel que soient le thème et les extensions que vous utilisez.
La mise à jour de WordPress corrige-t-elle le problème?
Non. La mise à jour du système de gestion de contenu ou l'installation d'une extension de sécurité ne met pas à jour l'environnement d'exécution PHP sous-jacent. Les deux couches ont besoin de leur propre mise à jour.
Mon hébergeur dit que tout va bien. Est-ce suffisant?
Demandez le numéro de version de l'environnement par écrit. « Tout va bien » sans version n'est pas une réponse à cette alerte.
Nous sommes sur PHP 8.1. Et maintenant?
Parlez à votre hébergeur de son entente de soutien à long terme, ou planifiez la mise à niveau vers une branche prise en charge. Aucun correctif du projet PHP n'arrive pour 8.1.
Comment savoir si nous avons déjà été touchés?
Examinez les journaux pour y déceler une activité suspecte autour et après le 21 octobre, et conservez les enregistrements avant de changer quoi que ce soit. Un événement suspect correspondant est une raison d'enquêter, pas une preuve en soi — apportez-le à quelqu'un qui sait le lire correctement.
Des lectures qui vont avec celle-ci
Lectures connexes:
- [Votre sauvegarde Microsoft 365 peut aussi être attaquée](https://amensecurity.ca/fr/blog/microsoft-365-backup-security-checklist) — la même leçon depuis une autre couche: ce qu'une application connectée pouvait atteindre, et les dix vérifications qui ont suivi.
- [Nettoyage Microsoft 365: licences, paramètres de sécurité et le locataire oublié](https://amensecurity.ca/fr/blog/microsoft-365-cleanup-licences-security-settings) — le passage d'hygiène du locataire qui va avec toute semaine de sécurité.
- [Combien coûte réellement la cybersécurité pour une petite entreprise au Canada?](https://amensecurity.ca/fr/blog/cybersecurity-cost-small-business-canada) — une fois le correctif urgent appliqué, la conversation budgétaire pour rester corrigé.

Corrigez d'abord, puis vérifiez
Les équipes qui s'en sont le mieux sorties cette semaine ont fait trois choses, dans cet ordre: elles ont trouvé leur version, elles ont fait corriger l'environnement (ou isolé le site en attendant), et elles ont vérifié que le site fonctionnait encore ensuite. C'est tout le plan d'action, et il tient sur une fiche.
Si votre hébergeur ne peut pas vous dire votre version de PHP, ou ne peut pas dire si l'environnement est corrigé, cette non-réponse est en soi la réponse — elle vous dit où en est réellement la sécurité de votre site Web. Corrigez cette lacune cette semaine, pendant que l'histoire est encore assez fraîche pour que chaque hébergeur y prête attention.
Même semaine, autre environnement d'exécution, même leçon: [Node2Shell, la faille Brotli dans Node, Python et tout ce qui l'intègre](https://amensecurity.ca/fr/blog/node2shell-nodejs-brotli-rce-october-2026) — la couche sous votre code a besoin de son propre correctif, et celle-ci se cache dans le décodeur Brotli intégré à Node, Python et aux proxys intermédiaires.
Sources et révision
- Centre canadien pour la cybersécurité — Alerte AL26-026, 21 octobre 2026: les deux failles (CVE-2026-109618, CVE-2026-109619), versions corrigées 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, PHP 8.1 et les versions antérieures ne recevant plus de mises à jour du projet PHP, preuve de concept disponible, aucune exploitation active relevée au moment de l'alerte avec la note que cela « peut changer rapidement », et les conseils de mettre à jour immédiatement, de repérer le PHP intégré, d'examiner les journaux et d'envisager l'isolement si la correction n'est pas possible tout de suite.
- Version de sécurité du projet PHP, 21 octobre 2026: les versions corrigées ci-dessus.
- Observations de Cloudflare signalées après la divulgation: des millions de tentatives d'exploitation.
- Reportages, 21–23 octobre 2026: sites Web gouvernementaux et institutionnels mis hors ligne par précaution aux Pays-Bas, en Finlande, en France et au Québec (Centre de services scolaire Marie-Victorin); détails de la divulgation ayant fuité un jour avant la date prévue; cote de gravité 9,2 sur 10.
- Révisé: le 24 octobre 2026.
- Amen Security est un fournisseur de services TI gérés (MSP) et de sites web et d'applications sur mesure basé à Winnipeg: soutien sur place partout au Manitoba, soutien à distance partout au Canada et aux États-Unis, et une évaluation gratuite avant tout contrat.

## Sujet : Cybersécurité et conformité
- [Guide principal](https://amensecurity.ca/fr/services/cybersecurity.md)
- [TI gérées ou dépannage à la demande : comparaison côte à côte](https://amensecurity.ca/fr/guides/msp-vs-break-fix.md)

---
Source page: https://amensecurity.ca/fr/blog/php2shell-critical-php-vulnerability-canada-2026
Markdown version for AI agents · Amen Security
Email: info@amensecurity.ca
Phone: +1 (204) 514-3536