PHP2Shell : quoi faire avec votre site WordPress cette semaine

Le 21 octobre 2026, Wiz Research a publié PHP2Shell, un ensemble de failles dans le moteur même de PHP. PHP est le langage sur lequel reposent WordPress, Drupal et Joomla et, selon Wiz, il fait fonctionner environ 70 % des sites Web. PHP a publié un correctif le jour même. Si votre site roule sur PHP, c'est cette semaine qu'il faut l'appliquer.

Les détails techniques proviennent de l'article de Wiz Research (en anglais).

Ce qui s'est passé, en termes simples

D'habitude, les alertes de sécurité WordPress visent une extension ou un thème. Ici, les failles se trouvent dans PHP lui-même, sous WordPress et sous toutes les extensions que vous avez installées. Un site WordPress propre et à jour peut quand même être exposé si la version de PHP qui le fait fonctionner est vulnérable.

Voici ce que rapporte Wiz :

• Les failles sont regroupées sous deux identifiants, CVE-2026-109618 et CVE-2026-109619, avec une gravité allant jusqu'à 9,2 sur l'échelle CVSS.
• Toutes les versions de PHP publiées au cours des dix dernières années sont touchées par au moins une de ces failles, en remontant jusqu'à PHP 5.4.
• Wiz a démontré qu'un attaquant, sans même ouvrir de session, pouvait exécuter du code sur le serveur avec les plus récentes images de conteneur de WordPress, Drupal et Joomla.
• Wiz a aussi démontré qu'un attaquant pouvait lire une partie de la mémoire du processus PHP, qui peut contenir des mots de passe, des jetons, des clés API et des certificats.

Exécuter du code à distance, ça veut dire qu'un attaquant peut lancer ses propres commandes sur votre serveur, comme s'il en avait les clés.

À faire cette semaine

1. Vérifiez votre version de PHP. Posez la question à votre hébergeur ou à votre équipe TI. Notez la réponse et la date.
2. Appliquez la mise à jour de sécurité de PHP. Selon Wiz, c'est la seule correction complète. Mettre à jour WordPress ou vos extensions ne règle pas PHP2Shell, puisque les failles sont dans PHP. Demandez à votre hébergeur de vous confirmer par courriel la date d'installation de la version corrigée.
3. Activez la protection de votre CDN ou de votre pare-feu applicatif si vous ne pouvez pas corriger aujourd'hui. Selon Wiz, Cloudflare, Akamai, AWS, Fastly, Imperva, Microsoft, Vercel et d'autres ont préparé des mesures d'atténuation pour ceux qui ne peuvent pas corriger tout de suite. Consultez les consignes de votre fournisseur sur PHP2Shell. Une mesure d'atténuation vous donne du temps. Elle ne remplace pas le correctif.
4. Surveillez les signes d'alerte. Demandez à la personne qui consulte les journaux de votre serveur de vérifier les signaux énumérés plus bas.
5. Changez vos secrets si vous en voyez. Si un de ces signaux apparaît, partez du principe que de la mémoire a pu fuir. Changez les mots de passe de la base de données, les clés API et les jetons d'accès, et renouvelez les certificats du site. Révisez ensuite qui a un accès administrateur.

Les signaux à surveiller selon Wiz

Wiz précise que ces attaques se produisent sous l'application, si bien que les journaux de WordPress peuvent en dire très peu. Ce sont les journaux du serveur et de PHP qu'il faut regarder. Surveillez :

• des requêtes multipart inhabituelles suivies d'erreurs de limite de mémoire ou de réponses HTTP 500 répétées;
• des témoins (cookies) PHPSESSID anormalement gros ou mal formés;
• des processus PHP qui redémarrent ou se renouvellent plus souvent que d'habitude, sans raison apparente.

Aucun de ces signes ne prouve une attaque à lui seul. Ce sont de bonnes raisons de regarder de plus près.

Ensuite, la vraie question

Une fois le correctif installé, l'urgence est passée. Reste une question plus difficile pour les petites équipes. Faut-il continuer à gérer un serveur PHP et une pile d'extensions?

Pour bien des organisations, la réponse honnête est oui. Si votre site fonctionne, que votre équipe le connaît bien et que quelqu'un est responsable des mises à jour, le garder peut être le bon choix.

Pour d'autres, PHP2Shell est le moment de reconnaître que le site demande plus d'attention qu'il n'en rapporte. Un serveur à corriger, des extensions à mettre à jour et des avis de sécurité à suivre chaque mois, c'est beaucoup pour une équipe marketing de deux ou trois personnes.

Deux avenues sont raisonnables :

• Garder WordPress ou Drupal et le renforcer. Planifiez les mises à jour de PHP et des extensions, retirez celles que vous n'utilisez plus, placez le site derrière un CDN avec un pare-feu et décidez qui réagira au prochain avis de sécurité.
• Passer à une plateforme où vous ne gérez plus le serveur. La correction de la pile technique revient alors au fournisseur. Aucune plateforme n'est à l'abri des attaques, celle-là pas plus qu'une autre. Ce qui change, c'est la part de ce travail qui retombe sur votre équipe.

Sengo vous accompagne dans les deux cas. Nous partons de vos besoins, de votre budget et de votre équipe. Si votre CMS actuel tient encore la route, nous vous le dirons et nous vous aiderons à le garder en bon état. Notre page WordPress explique comment nous travaillons avec cette plateforme.

Comment Sengo a migré ses 600 pages en une nuit

Nous avons fait ce choix pour notre propre site. sengo.com roulait sur WordPress. Après deux ans, les extensions et l'entretien de sécurité demandaient plus d'attention que le site n'en valait. Aujourd'hui, sengo.com ne roule plus ni sur WordPress ni sur PHP.

Notre fondateur et PDG, Jean-Nicolas Gauthier, a migré le site vers Ploy, dont Sengo est maintenant partenaire officiel. Il avait posé une seule condition. La migration ne devait pas nuire à la visibilité de Sengo dans les moteurs de recherche ni dans les réponses des outils d'IA.

• Avant de toucher à quoi que ce soit, l'agent de Ploy a lu tous les plans de site et toutes les métadonnées. En une heure environ, il a relevé une cinquantaine de problèmes déjà présents sur le site en ligne.
• Environ 600 pages WordPress ont été migrées en une nuit.
• Le nouveau site a été mis en ligne après quelques soirées de travail, sur environ une semaine.

« We basically migrated with Ploy in a night. So I was like, oh my God, this is nice. »

Jean-Nicolas Gauthier, fondateur et PDG, Sengo

Autrement dit, la migration s'est faite en une seule soirée, et le résultat l'a agréablement surpris. L'histoire complète est racontée dans l'étude de cas de Ploy sur Sengo (en anglais). Notre site est un exemple, pas une promesse.

Questions fréquentes

Mettre à jour WordPress règle-t-il PHP2Shell?

Non. Les failles se trouvent dans PHP. Selon Wiz, seule la mise à jour de sécurité de PHP corrige complètement PHP2Shell.

Quelles versions de PHP sont touchées?

Selon Wiz, toutes les versions de PHP publiées au cours des dix dernières années sont touchées par au moins une des failles, en remontant jusqu'à PHP 5.4. Demandez à votre hébergeur où vous en êtes.

La protection de mon CDN ou de mon pare-feu suffit-elle?

Elle aide en attendant le correctif, mais reste temporaire. Selon Wiz, seule la mise à jour de PHP corrige complètement le problème.

Obtenez une réponse claire pour votre site

Si vous ne savez pas trop où en est votre site, commencez par notre audit WordPress gratuit. Nous examinons votre site et vous faisons une recommandation claire, qu'il s'agisse de renforcer ce que vous avez ou de planifier une migration.

Demandez votre audit WordPress gratuit ou parlez à notre équipe.

Sources

1. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
   wiz.io
2. Sengo migrates its 600-page WordPress site to Ploy in one night
   ploy.ai