Sécuriser et mettre à jour WordPress : la faille PHP2Shell et les bons réflexes

PHP2Shell : ce qui s'est passé

PHP2Shell est le nom donné à deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10) découvertes dans PHP, le langage sur lequel fonctionnent WordPress et une grande partie du web. Elles permettent, dans certaines conditions, à une personne extérieure de faire exécuter du code sur un serveur à l'aide de requêtes web spécialement construites, sans avoir besoin de mot de passe.

Les failles ont été signalées à l'équipe PHP le 24 août 2026. Les correctifs ont été publiés le 21 octobre 2026, jour où le CERT-FR a émis l'alerte CERTFR-2026-ALE-014. Presque toutes les versions de PHP des dix dernières années sont concernées.

Ce guide a été rédigé le 9 novembre 2026 à partir des publications de Wiz Research, du CERT-FR et de SecurityWeek. La situation évolue : les recommandations sur les versions de PHP restent, elles, valables.

Pourquoi WordPress est concerné, et pourquoi mettre à jour WordPress ne suffit pas

La faille n'est pas dans WordPress : elle est dans PHP, le moteur qui exécute WordPress. Un site WordPress parfaitement à jour, avec des extensions irréprochables, reste donc exposé tant que PHP n'est pas corrigé. Les chercheurs de Wiz ont montré une exécution de code à distance sans authentification sur l'image WordPress officielle disponible lors de leurs tests.

• Mettre à jour WordPress, les extensions ou le thème ne corrige pas cette faille.
• Une extension de sécurité ou un pare-feu applicatif réduit le risque, mais ne referme pas complètement la faille : la seule vraie correction est la mise à jour de PHP.
• Les autres logiciels écrits en PHP sont dans le même cas : Drupal, Joomla, Magento, PrestaShop, Shopware.

Pour garder la mesure des choses : fin octobre, Wordfence n'avait connaissance d'aucun site WordPress compromis par cette faille, bien que plus de 77 000 requêtes d'attaque liées à PHP2Shell, venues de plus de 2 000 adresses, aient été enregistrées. L'exploitation demande d'être adaptée à chaque serveur, et beaucoup de tentatives échouent. Cela laisse du temps pour agir, pas une raison d'attendre : les attaquants continuent d'affiner leurs outils.

Quelles versions de PHP sont corrigées

Certains hébergeurs appliquent leurs propres correctifs sur des versions anciennes. Demandez-leur confirmation par écrit plutôt que de le supposer. Si vous devez migrer de toute façon, visez directement PHP 8.4 ou 8.5.

Vérifier votre site en cinq minutes

• Connectez-vous à l'administration de WordPress, puis ouvrez Outils, Santé du site, onglet Infos, rubrique Serveur : la version complète de PHP y est indiquée.
• Comparez-la au tableau ci-dessus. Si elle est plus ancienne que la version corrigée de sa branche, votre site est concerné.
• Sur un hébergement mutualisé, le changement de version de PHP se fait souvent dans l'espace client de l'hébergeur. Sur un serveur dédié ou un VPS, c'est à vous (ou à votre prestataire) de mettre PHP à jour.
• Si vous n'avez pas accès à l'administration ou à l'hébergement, demandez la version de PHP et la date de dernière mise à jour à la personne qui s'en occupe.

Mettre PHP à jour sans casser le site

Changer de version de PHP est simple techniquement, mais un thème ou une extension ancienne peut ne pas fonctionner avec une version récente. Le piège classique : changer la version un vendredi soir et découvrir le lundi que le formulaire de contact ou le paiement ne marche plus. La bonne méthode :

• Faire une sauvegarde complète (fichiers et base de données), stockée ailleurs que sur le serveur du site.
• Créer une copie du site (environnement de test) pour essayer le changement sans risque.
• Mettre à jour WordPress, les extensions et le thème sur cette copie, puis passer la copie sur la version de PHP corrigée.
• Tester les pages importantes : formulaires, commandes et paiement, espace client, recherche, affichage mobile.
• Faire le même changement sur le site en ligne, puis surveiller les erreurs pendant quelques jours.

Les sites qui tournent encore sur PHP 7 ou 8.0 sont les plus délicats : leurs extensions sont souvent abandonnées ou à remplacer. C'est un travail à prévoir, pas à reporter.

Les signes d'une intrusion

Si votre site est resté longtemps sur une version de PHP non corrigée, vérifiez qu'il n'a pas déjà été visité :

• des comptes administrateurs que vous ne connaissez pas ;
• des fichiers du cœur de WordPress, des extensions ou du thème modifiés récemment sans raison ;
• des fichiers inconnus dans le dossier des médias (uploads) ;
• des redirections inattendues vers d'autres sites, ou des pages que vous n'avez pas créées ;
• dans les journaux du serveur : des erreurs 500 répétées, des dépassements de mémoire ou des requêtes inhabituelles suivis d'anomalies.

En cas de doute, ne supprimez pas tout à la hâte : conservez les journaux, isolez le site si nécessaire, changez les mots de passe et les clés de sécurité, et faites analyser le site avant de le restaurer. Un site nettoyé à moitié est réinfecté.

Au-delà de PHP2Shell : garder WordPress à jour toute l'année

WordPress est l'une des cibles les plus fréquentes des attaques automatisées, simplement parce qu'il est très répandu. Dans la grande majorité des cas, la porte d'entrée n'est pas WordPress lui-même mais une extension ou un thème abandonné, non mis à jour, ou un mot de passe faible. PHP2Shell rappelle surtout qu'un site demande un entretien régulier. Les bases :

• Mettre à jour WordPress, les extensions et le thème régulièrement, avec une sauvegarde avant chaque série de mises à jour.
• Supprimer les extensions et les thèmes inutilisés, et remplacer ceux qui ne sont plus maintenus par leur auteur.
• Utiliser une version de PHP supportée, et suivre les dates de fin de support.
• Activer la double authentification pour les administrateurs, limiter les tentatives de connexion et ne donner que les droits nécessaires à chaque compte.
• Garder des sauvegardes automatiques, conservées hors du serveur, dont la restauration a été testée.
• Désactiver l'édition de fichiers depuis l'administration, et ne garder que les droits d'écriture nécessaires sur le serveur.
• Surveiller le site : disponibilité, modifications de fichiers, alertes de sécurité.
• Ajouter, si le site est stratégique, un pare-feu applicatif : c'est une couche en plus, pas un remplacement des mises à jour.

Sécuriser et optimiser en même temps

Une remise à niveau est l'occasion d'améliorer aussi la vitesse, qui compte pour vos visiteurs et pour Google. Les versions récentes de PHP sont généralement plus rapides que les anciennes. S'y ajoutent le nettoyage des extensions superflues, l'optimisation des images, la mise en cache et l'allègement de la base de données. Un site plus léger est aussi un site avec moins de code à surveiller.

Ce que fait Webetic pour les sites WordPress

Webetic conçoit, maintient et sécurise des sites WordPress, parmi d'autres technologies, avec plus de 20 ans d'expérience du web. Parmi nos réalisations sous WordPress : Euromip, Clicview, Fabrice Bouquet, DDEN, Avedis Architecture, Trinéo et le site de marque Wrung Division. Nous reprenons aussi des WordPress existants, même créés par quelqu'un d'autre.

• Un audit de votre site : version de PHP, extensions et thème, comptes, fichiers, sauvegardes, performances.
• La mise à jour de PHP et de WordPress sur une copie de test, puis en production, avec sauvegarde préalable.
• Le remplacement ou la mise à niveau des extensions abandonnées.
• Le durcissement du site : accès, droits, double authentification, limitation des connexions, pare-feu si nécessaire.
• La maintenance régulière : mises à jour, sauvegardes testées, surveillance, dépannage.
• L'optimisation de la vitesse et du référencement.
• En cas de piratage : analyse, nettoyage, remise en état et prévention.

Vous restez propriétaire de votre site, avec tous vos accès. Parlez-nous de votre WordPress : le premier échange est gratuit et sans engagement.

Questions fréquentes

Qu'est-ce que PHP2Shell ?

Le nom donné à deux failles critiques du langage PHP (CVE-2026-109618 et CVE-2026-109619) corrigées le 21 octobre 2026. Elles peuvent permettre d'exécuter du code sur un serveur à distance, sans mot de passe.

Mon site WordPress est-il vulnérable ?

Il l'est s'il fonctionne sur une version de PHP antérieure aux versions corrigées (8.2.35, 8.3.36, 8.4.27, 8.5.12) ou sur une branche plus ancienne que 8.2. Vérifiez dans Outils, Santé du site, Infos, Serveur.

Mettre à jour WordPress suffit-il ?

Non. La faille est dans PHP, pas dans WordPress. Seule la mise à jour de PHP la corrige complètement.

Une extension de sécurité me protège-t-elle ?

Pas complètement. Une extension ou un pare-feu réduit certains risques, mais la seule vraie correction est la mise à jour de PHP. Gardez-les comme couche supplémentaire.

Comment connaître ma version de PHP ?

Dans l'administration de WordPress : Outils, Santé du site, onglet Infos, rubrique Serveur. Vous pouvez aussi la trouver dans l'espace client de votre hébergeur.

Mon hébergeur met-il PHP à jour pour moi ?

Cela dépend de l'offre. Sur certains hébergements mutualisés, oui ; sur un serveur dédié ou un VPS, c'est à vous de le faire. Demandez-lui une confirmation écrite de la version utilisée par votre site.

Mon site tourne sur PHP 7.4 ou 8.0, que faire ?

Ces versions ne sont plus maintenues et n'ont pas de correctif officiel régulier. Il faut migrer vers une version supportée, après avoir testé le site sur une copie, car certaines extensions anciennes peuvent ne pas suivre.

Reprenez-vous un WordPress créé par quelqu'un d'autre ?

Oui. Nous commençons par un audit de l'existant, puis nous mettons à jour, sécurisons et optimisons le site.

Mon site a peut-être été piraté, que faire ?

Conservez les journaux, changez les mots de passe, ne restaurez pas à la hâte et faites analyser le site. Contactez-nous : nous pouvons analyser, nettoyer et remettre le site en état.

Les autres logiciels sont-ils concernés ?

Tout ce qui fonctionne avec PHP l'est : Drupal, Joomla, Magento, PrestaShop, Shopware. Le conseil est le même : mettre PHP à jour. Les boutiques Shopify, hébergées par Shopify, ne dépendent pas de votre version de PHP.