En bref : le nombre de serveurs concernés par PHP2Shell ne peut être qu'estimé. Selon TechTarget, Unit 42 a compté plus de 22,6 millions d'instances exposées, CybelAngel cite environ 2,24 millions d'hôtes PHP, BleepingComputer, citant VirusTotal, fait état de plus de 5,1 millions. Ces chiffres mesurent des choses différentes et ne se contredisent donc pas. Pour votre entreprise, un autre chiffre compte : combien de vos propres systèmes PHP sont accessibles et combien d'entre eux sont corrigés de façon prouvée.
Le point de départ : un chiffre fait les gros titres
« 22 millions de serveurs en danger » figurait le 21 octobre 2026 dans de nombreux titres. Le chiffre vient d'Unit 42, le département de recherche de Palo Alto Networks, et a été rapporté notamment par TechTarget. Peu après, d'autres chiffres ont circulé, parfois dix fois plus petits.
Pour les lecteurs, l'impression est que personne ne sait rien. En réalité, les fournisseurs comptent simplement des choses différentes avec des méthodes différentes. Qui comprend cela peut utiliser les chiffres au lieu de se laisser déstabiliser par eux.
Combien de serveurs sont concernés par PHP2Shell ? Vue d'ensemble des chiffres
| Source | Chiffre | Ce qui a été compté |
|---|---|---|
| Unit 42 (Palo Alto Networks), selon TechTarget | plus de 22,6 M | instances exposées et potentiellement vulnérables ; méthode non expliquée dans le rapport |
| VirusTotal, selon BleepingComputer | plus de 5,1 M | hôtes PHP accessibles depuis Internet |
| CybelAngel, d'après des données Shodan | environ 2,24 M | hôtes qui indiquent PHP dans leurs identifiants |
| CybelAngel | 59 % d'environ 1,5 M | part des hôtes à version visible sur des branches sans mise à jour officielle |
| CybelAngel | environ 740 000 | hôtes qui indiquent PHP mais masquent leur version |
Tous les chiffres se rapportent à la situation autour des 20 et 21 octobre. Ce sont des instantanés qui changent à chaque mise à jour appliquée.
Pourquoi les décomptes divergent autant
Trois effets expliquent l'essentiel des différences.
Instance, hôte, site. Un hôte est le plus souvent une adresse IP ou un serveur. Une instance peut être un service isolé ou un site isolé. Sur un serveur en hébergement mutualisé, des centaines de sites tournent souvent. CybelAngel le souligne lui-même : on compte des hôtes, non des organisations ou des sites ; le nombre réel d'applications accessibles est probablement plus élevé.
Versions masquées. De nombreux serveurs ne divulguent pas leur version de PHP, par exemple parce que expose_php est désactivé. Ils manquent dans les statistiques fondées sur les versions. Pourquoi masquer est judicieux sans remplacer une protection, l'article sur les indications de version et expose_php l'explique.
Rétroportages. Les distributions et hébergeurs appliquent parfois des corrections sans changer le numéro de version. Un serveur qui affiche un ancien numéro vers l'extérieur peut donc être corrigé. Les décomptes fondés sur la version affichée surestiment donc le nombre de systèmes non corrigés. La manière de vérifier l'état réel chez vous figure sous Vérifier la version de PHP et le niveau de correctif.
Comment naissent de tels décomptes
La plupart des chiffres reposent sur des services de recherche qui interrogent en continu Internet et enregistrent ce que les serveurs indiquent d'eux-mêmes. Un serveur web mentionne souvent dans ses réponses le logiciel et la version, par exemple dans l'en-tête X-Powered-By. CybelAngel s'appuie, selon sa propre présentation, sur de tels identifiants issus de données Shodan. Rien n'est attaqué : on lit seulement ce qui est de toute façon visible publiquement.
Il en découle une règle de lecture simple pour tout nouveau chiffre dans les médias. Demandez : qu'a-t-on compté, des hôtes, des instances ou des sites ? Quand a-t-on mesuré, avant ou après le 21 octobre ? Et comment la version a-t-elle été déterminée, par le numéro affiché ou par un véritable test ? Qui ne peut pas répondre à ces trois questions devrait traiter le chiffre comme un ordre de grandeur approximatif, non comme une valeur mesurée.
« Exposé » signifie accessible et peut-être vulnérable d'après des caractéristiques externes. Cela ne signifie ni attaqué ni compromis. Le BSI (office fédéral allemand de la sécurité des technologies de l'information) ne connaissait dans un premier temps aucune attaque réussie confirmée à grande échelle.
Ce que les chiffres montrent malgré tout de façon fiable
Même si l'ordre de grandeur varie, les décomptes portent trois enseignements solides :
- La surface d'attaque est immense. Même le plus petit chiffre représente des millions de cibles accessibles. Les attaquants n'ont pas à chercher, ils peuvent vérifier de façon automatisée.
- Les anciennes versions sont répandues. Selon CybelAngel, 59 % des hôtes à version visible tournaient sur des branches pour lesquelles le projet PHP ne publie pas de mise à jour officielle. Pour ces systèmes, aucun correctif rapide n'aide : seuls un rétroportage, un tiers ou une migration le font. Les risques sont décrits dans le guide PHP en fin de vie.
- Le problème durera plus longtemps. Une grande partie des systèmes accessibles ne sera pas mise à jour en quelques jours. Les scans et tentatives d'attaque vont donc probablement durer encore longtemps.
Déterminer votre propre chiffre
Le chiffre mondial est un gros titre. Le vôtre est une tâche. Voici comment l'obtenir :
- Recenser les domaines et sous-domaines : à partir des zones DNS, des certificats, des contrats avec les agences et hébergeurs.
- Associer les services accessibles : quel serveur se cache derrière quelle adresse, qui l'exploite ?
- Relever l'état de PHP par système : version, mode d'exécution, source des paquets, confirmation du rétroportage.
- Évaluer le résultat : corrigé et prouvé, corrigé sans preuve, non corrigé, inconnu.
- Combler les lacunes : clarifier d'abord l'inconnu, agir d'abord sur le non corrigé.
À la fin, il y a une courte liste plutôt qu'un grand chiffre. La manière de tenir durablement l'inventaire est décrite dans l'article Inventaire de tous les sites web et serveurs.
Comment PHP SOS aide-t-il concrètement ?
- Vue extérieure : nous déterminons lesquels de vos systèmes sont accessibles depuis Internet et lesquels utilisent PHP.
- Vue intérieure : nous vérifions le niveau de correctif et le redémarrage sur les serveurs, pas seulement la version affichée.
- Évaluation : vous recevez une liste avec le statut de chaque système et un ordre clair.
- Contre-vérification : sur demande, nous testons après le correctif, de l'extérieur, si la situation s'est améliorée comme prévu.
Le déroulement d'une telle vérification est décrit dans Audit de sécurité et test d'intrusion.
Conclusion
22,6 millions, 5,1 millions, 2,24 millions : les chiffres paraissent contradictoires, mais ils mesurent simplement des choses différentes. Ensemble, ils montrent que PHP2Shell touche une très grande surface d'attaque et que de nombreuses anciennes versions sont en ligne. Le chiffre qui décide de votre risque, aucune étude ne le fournit. Il ne naît que du regard porté sur vos propres systèmes.
Questions fréquentes
Combien de serveurs sont concernés par PHP2Shell ?
Personne ne le sait avec précision. Selon TechTarget, Unit 42 de Palo Alto Networks a compté plus de 22,6 millions d'instances exposées et potentiellement vulnérables. CybelAngel cite environ 2,24 millions d'hôtes accessibles depuis Internet qui indiquent PHP. Ces chiffres mesurent des choses différentes et ne sont pas directement comparables.
Pourquoi les chiffres divergent-ils autant ?
Parce que l'on compte des choses différentes : instances, hôtes, adresses IP ou services. Un hôte en hébergement mutualisé peut abriter des centaines de sites. De plus, de nombreux serveurs n'affichent pas leur version de PHP, d'autres affichent un ancien numéro alors qu'un rétroportage a été appliqué.
Exposé signifie-t-il qu'un serveur a été attaqué ?
Non. Exposé signifie seulement qu'un service PHP est accessible depuis Internet et pourrait être vulnérable d'après des caractéristiques externes. Ces décomptes ne disent rien sur d'éventuelles attaques réelles.
Quel chiffre est important pour mon entreprise ?
Le nombre de vos propres systèmes PHP accessibles publiquement et combien d'entre eux sont corrigés de façon prouvée. Les chiffres mondiaux montrent l'ampleur, mais ne remplacent pas votre propre inventaire.