Le 21 octobre 2026, une faille de sécurité baptisée PHP2Shell a touché PHP, le langage qui fait tourner la grande majorité des sites WordPress et PrestaShop. Pour les sites dont nous nous occupons, l'opération a commencé à 16 h, à la sortie des correctifs, et elle était terminée dans la nuit. Nos clients n'ont rien eu à faire. Voici ce qui s'est passé, ce que nous avons fait, et ce que vous pouvez vérifier si votre site est géré ailleurs.
Ce qui s'est passé le 21 octobre
PHP fait fonctionner WordPress, PrestaShop et une bonne partie des sites d'entreprise. Le 21 octobre 2026, l'équipe qui le développe a publié en urgence des versions corrigées pour deux failles, regroupées sous le nom PHP2Shell.
Leur gravité tenait à leur portée : elles concernaient presque tous les serveurs équipés de PHP, ne demandaient aucun compte ni mot de passe, et permettaient d'exécuter des commandes sur le serveur. Concrètement, un attaquant pouvait modifier le site, y cacher un programme ou lire ses données. Des tentatives d'attaque ont été observées dans les heures qui ont suivi la publication.
Point important pour un dirigeant : mettre à jour WordPress ou ses extensions ne suffisait pas. La correction se faisait sur le serveur, au niveau de PHP lui-même. C'est le travail de l'hébergeur, ou de celui qui gère le serveur.
Ce que nous avons fait ce jour-là
Nous suivons ce type d'alerte au quotidien. L'opération a démarré à 16 h, au moment où les correctifs de PHP ont été déployés, et elle était terminée dans la nuit. Aucun des sites que nous suivons n'a été compromis.
| Qui | Ce qui a été fait |
|---|---|
| Nos hébergeurs partenaires | Mise à jour de PHP et de leurs serveurs |
| LEVEL 1, sur nos propres serveurs | Mise à jour des sites et des applications que nous hébergeons nous-mêmes, y compris PHP dans nos conteneurs |
| LEVEL 1, sur chaque site | Contrôle que tout fonctionnait normalement après les mises à jour, puis surveillance de l'activité |
| Cloudflare, placé devant nos sites | Blocage de nombreuses tentatives d'attaque PHP2Shell avant qu'elles n'atteignent les serveurs |
| Clients hébergés ailleurs | Prévenus, pour faire vérifier la mise à jour par leur hébergeur |
Et depuis
Le 23 octobre, PHP a signalé une troisième faille, CVE-2026-115560. Elle n'avait pas encore de correctif officiel à la date de cet article, mais aucune attaque n'était connue et un réglage du serveur permet de la neutraliser. Nous la suivons jusqu'à sa correction.
La même semaine, une faille du noyau Linux, le système qui fait tourner la plupart des serveurs, a été ajoutée à la liste des failles activement exploitées tenue par l'agence américaine de cybersécurité (CISA). Elle se corrige elle aussi côté serveur, et nous suivons ces mises à jour avec nos partenaires.
Ce que nos clients ont eu à faire
Rien. Ils n'ont eu ni à intervenir sur leur site, ni à contacter leur hébergeur. C'est le sens d'un site suivi : quand une faille tombe, quelqu'un est déjà dessus, y compris un soir de semaine.
Votre site est géré ailleurs ? Ce que vous pouvez vérifier
Voici les points à contrôler vous-même, ou à demander à votre prestataire :
- votre version de PHP est-elle 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récente ? Dans WordPress, elle s'affiche dans Outils, Santé du site, onglet Informations, rubrique Serveur.
- votre hébergeur vous a-t-il confirmé par écrit que le correctif PHP2Shell est appliqué ?
- votre site tourne-t-il encore sous PHP 7 ou 8.1 ? Ces versions ne reçoivent plus de correctifs, et le sujet dépasse alors cette seule faille.
- voyez-vous des comptes administrateurs que vous ne connaissez pas ?
- des pages, des liens ou des redirections sont-ils apparus sans que vous les ayez créés ?
Un doute ? On regarde avec vous
Même si votre site n'a pas été créé par LEVEL 1, nous pouvons vérifier sa version de PHP et les signes d'intrusion, et vous dire quoi demander à votre hébergeur. Il suffit de nous écrire en indiquant l'adresse du site.
Ce que cette faille rappelle
Un site internet n'est pas terminé le jour de sa mise en ligne. WordPress, ses extensions, PHP et le serveur reçoivent des correctifs toute l'année, et certains ne peuvent pas attendre. Sans personne pour les suivre, un site reste exposé jusqu'à ce que quelqu'un s'en aperçoive, parfois après une attaque.
C'est ce que couvre notre maintenance et hébergement : mises à jour, sauvegardes, sécurité, et une réaction le jour même quand une alerte comme celle-ci tombe.
Questions fréquentes
Mon site WordPress était-il concerné par PHP2Shell ?
Oui, si son serveur faisait tourner une version de PHP antérieure aux correctifs du 21 octobre 2026. Ce qui compte aujourd'hui, c'est que la version corrigée soit installée : votre hébergeur ou votre prestataire peut vous le confirmer.
Mettre à jour WordPress suffit-il à se protéger de PHP2Shell ?
Non. La faille se trouvait dans PHP, sur le serveur. Les mises à jour de WordPress et des extensions restent indispensables, mais elles ne corrigeaient pas celle-ci.
Comment savoir si mon site a été piraté ?
Plusieurs signes doivent alerter : comptes administrateurs inconnus, pages ou liens ajoutés, redirections vers d'autres sites, avertissement de Google ou de votre navigateur. En cas de doute, faites vérifier le site et les fichiers du serveur par un professionnel.
Que faire si mon hébergeur ne répond pas ?
Demandez-lui par écrit si les correctifs de CVE-2026-109618 et CVE-2026-109619 sont appliqués. Sans réponse claire, il est temps de revoir l'hébergement : nous pouvons reprendre la maintenance d'un site que nous n'avons pas créé.
Appelez-nous au 06 33 91 83 22 ou écrivez-nous : vous échangez directement avec Ludovic ou Marc.
