PHP2Shell : deux failles critiques dans PHP, le langage de millions de sites web, corrigées en urgence
L'équipe de PHP a publié le 21 octobre des versions corrigées (8.5.12, 8.4.27, 8.3.36 et 8.2.35) pour deux failles notées 9,2 sur 10 (CVE-2026-109618 et CVE-2026-109619). Elles peuvent permettre à un pirate de faire exécuter ses propres commandes sur un serveur web sans se connecter. Plusieurs sites, dont les japonais Niconico et pixiv, se sont mis en maintenance pour installer le correctif, et Cloudflare dit voir apparaître les premières attaques.
Pourquoi ça compte
PHP fait tourner une grande partie des sites web, dont ceux faits avec WordPress. Mettre à jour WordPress ou ses extensions ne met pas à jour PHP : c'est l'hébergeur ou l'administrateur du serveur qui doit le faire. Les versions 8.1 et plus anciennes ne reçoivent plus de correctif.
Ce que tu dois faire
✅ Si tu gères un site en PHP, demande à ton hébergeur de confirmer que la version corrigée est installée, ou installe-la toi-même. Si tu es encore en PHP 8.1 ou plus ancien, prévois de passer à une version suivie.
Sources
← Tout le numéro du 22 octobre 2026 📬 Recevoir Le Fil par e-mail