Vulnérabilité critique dans PHP

PHP2Shell : nous sécurisons votre serveur et le patchons.

Deux failles dans PHP lui-même permettent à des attaquants d’accéder à votre serveur sans authentification. Les détails étaient déjà en ligne avant la sortie du correctif. Nous prenons en charge l’intégralité du processus : inventaire, protection, déploiement du correctif et vérification d’éventuelles intrusions.

CVE-2026-109618CVE-2026-109619CVSS 9,2 / 10

Faire vérifier aujourd'hui Appelez le 085 30 350 45

Statut pour les clients sous contrat d’infogérance

Aucune action requise

Mesures temporaires appliquées
Versions PHP identifiées par serveur
Déploiement du correctif dès sa publication par PHP
Analyse des logs pour détecter des traces d’abus

Explications techniques sur notre blog →

Pourquoi c’est différent

La faille se situe en amont de votre application.

PHP traite une requête avant même que WordPress, Laravel ou votre propre code n’exécute la moindre ligne. Mettre à jour votre CMS ou installer une extension de sécurité ne résout donc pas le problème.

Attaquantrequête sans authentification

Serveur webnginx · Apache · LiteSpeedNous bloquons ici

PHPtraitement multipartLa faille est ici

WordPress · Laravel · extensionsarrive trop tard

Êtes-vous vulnérable ?

Partez du principe que oui si vous utilisez PHP. La marche à suivre dépend de votre version.

Recevra un correctifPHP 8.2 – 8.5

Sécuriser maintenant, mettre à jour dès que le correctif sort.

Pas de correctif prévuPHP 8.1 et versions antérieures

Maintenir les mesures et migrer dès que possible. Nous vous accompagnons.

InconnuVous ne savez pas ?

php -v ne dit rien sur votre site. Nous identifions quelle version de PHP dessert réellement vos sites.

Notre approche

Quatre étapes, de la protection au contrôle final.

1
Inventaire
Chaque serveur, site, environnement de staging, conteneur et outil de gestion utilisant PHP. Incluant la version et le fichier php.ini réellement actifs.
2
Protection
Désactivation de session upload progress et blocage des requêtes multipart sur le serveur web, y compris en accès direct par IP. Testé avec curl.
3
Correctif
Mise à jour de chaque version de PHP, y compris les images Docker. Redémarrage de PHP-FPM, des workers et des files d’attente pour éviter tout processus sur l’ancien binaire.
4
Contrôle
Analyse des logs, des fichiers modifiés, des tâches cron, des clés SSH et des nouveaux comptes administrateurs. Ensuite, nous levons le blocage temporaire.

Erreurs fréquentes

Ce qui n’aide PAS.

Tout ce qui s’exécute après que PHP a lu la requête arrive trop tard. Ces mesures donnent un faux sentiment de sécurité.

~~Mettre à jour WordPress ou les extensions~~La faille est dans PHP, pas dans votre CMS.
~~Wordfence ou une autre extension de sécurité~~S’exécute seulement après que PHP a déjà traité la requête.
~~file_uploads = Off~~PHP continue de lire la requête malgré tout.
~~disable_functions~~N’affecte pas l’erreur lors du traitement initial.
~~Uniquement un WAF ou Cloudflare~~Inutile si votre serveur est accessible directement via son adresse IP.
~~Choisir une autre version de PHP dans votre panel~~Ne garantit pas que ce build est patché.

Comment nous vous aidons.

Client sous contrat d’infogérance

Vous n’avez rien à faire

Les mesures temporaires sont déjà en place. Nous appliquons le correctif dès sa sortie et analysons ensuite les logs. Nous vous contacterons si nous trouvons quoi que ce soit.

Inclus dans votre forfait de gestion

Pas de contrat d’infogérance

Nous intervenons dès aujourd’hui

Un ingénieur identifie votre configuration PHP, sécurise votre serveur et le patche. Également chez votre propre hébergeur, sous Docker ou via un panel d’hébergement.

Demander de l’aide 085 30 350 45

Questions sur PHP2Shell.

Un ingénieur en ligne directement 085 30 350 45 Même si vous n’êtes pas encore client

Qu'est-ce que PHP2Shell exactement ?

Le surnom de deux vulnérabilités dans PHP : CVE-2026-109618 et CVE-2026-109619, toutes deux avec un score de 9,2 sur 10. Un attaquant peut exécuter son propre code sur votre serveur sans authentification. Lire l’explication complète →

Mon site n'a pas de formulaire de téléchargement. Suis-je en sécurité ?

Non. PHP traite la requête avant même que votre application ne s’exécute, donc même un site sans formulaire de téléchargement est vulnérable.

Vais-je ressentir les effets des mesures temporaires ?

Tant que le blocage est actif, les téléchargements de fichiers ne fonctionneront pas, comme la bibliothèque de médias WordPress et les formulaires avec pièces jointes. Les pages normales, la connexion et les API fonctionnent normalement. Nous lèverons le blocage après l’application du correctif.

Je suis sur un hébergement mutualisé. Que faire ?

Demandez à votre hébergeur quel build PHP patché dessert votre domaine. Si vous ne voulez pas chercher par vous-même ou si vous souhaitez quitter votre hébergeur, nous pouvons vous aider.

Comment savoir si quelqu'un s'est déjà introduit dans mon système ?

Cela se voit dans les logs, les fichiers modifiés, les nouvelles tâches cron, les clés SSH et les comptes d’administration. Nous vérifions cela pour vous. Si nous trouvons quelque chose, nous isolons le serveur et aidons à la restauration.

J'utilise PHP 8.1 ou une version antérieure

Aucun correctif n’est attendu pour ces versions. Nous maintenons les mesures de protection et planifions ensemble une mise à niveau vers une version supportée.

Depuis 2008

Des entreprises qui nous dominent.

Depuis plus de 15 ans, nous fournissons des technologies informatiques sécurisées et fiables aux petites et moyennes entreprises. Pour un tarif mensuel fixe et avec des contrats courts.