En bref : une grande partie des systèmes de gestion de contenu (CMS) et des systèmes de boutique répandus est écrite en PHP, dont WordPress avec WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento (ou Adobe Commerce) et PrestaShop. S'y ajoutent des applications internes comme Nextcloud, Moodle, MediaWiki et Matomo. Qui exploite l'un de ces systèmes est concerné par les failles de l'interpréteur PHP comme PHP2Shell, quel que soit le niveau de mise à jour du CMS lui-même.
Pourquoi autant de sites web fonctionnent sur PHP
Depuis les années 1990, PHP est taillé pour les serveurs web et disponible chez pratiquement tous les hébergeurs. Un CMS basé sur PHP peut donc être exploité sans infrastructure serveur propre, ce qui était et reste attrayant pour les petites et moyennes entreprises, les associations et les administrations.
Pour les exploitants, cela signifie : le site web n'est pas seulement « WordPress » ou « Shopware », mais un empilement de plusieurs couches. En bas tourne le système d'exploitation, au-dessus le serveur web, puis l'interpréteur PHP et tout en haut le CMS avec ses extensions. Chaque couche a besoin de ses propres mises à jour. Une faille dans PHP touche tous les systèmes qui reposent dessus.
S'y ajoutent les extensions : plugins, thèmes, modules et interfaces de boutique sont eux aussi du code PHP, souvent issu de petits éditeurs. Ils s'exécutent avec les mêmes droits que le CMS et sont exécutés par le même environnement PHP. Un CMS avec de nombreuses extensions présente donc une surface d'attaque plus grande qu'une installation sobre, même si le noyau est à jour.
Nous omettons ici les chiffres sur la diffusion de chaque système. Nous ne connaissons pas de source que nous jugions fiable et comparable.
CMS et systèmes de boutique répandus basés sur PHP
Le tableau cite des systèmes connus et ce que les éditeurs disent eux-mêmes de leur base technique. Nous n'indiquons volontairement pas d'exigences de version, car elles changent à chaque version.
| Système | Type | Remarque sur la base technique |
|---|---|---|
| WordPress, WooCommerce | CMS, extension de boutique | application PHP, MySQL ou MariaDB selon les exigences |
| TYPO3 | CMS | nécessite, selon la doc, un serveur web, PHP et une base SQL |
| Joomla | CMS | PHP avec MySQL, MariaDB ou PostgreSQL |
| Drupal | CMS | PHP ; extensions du noyau dans core/composer.json |
| Contao | CMS | selon l'éditeur, basé sur le framework full-stack Symfony |
| Craft CMS | CMS | l'éditeur cite Yii parmi les outils employés |
| Shopware 6 | Boutique | la doc développeur traite les plugins comme des bundles Symfony |
| Magento Open Source, Adobe Commerce | Boutique | PHP et Composer dans les exigences système |
| PrestaShop | Boutique | PHP avec son propre tableau de compatibilité |
| Nextcloud | Stockage de fichiers | Apache avec mod_php ou PHP-FPM, Nginx avec PHP-FPM |
| Moodle | Plateforme d'apprentissage | développé en PHP selon la doc |
| MediaWiki, Matomo | Wiki, statistiques | PHP selon les exigences d'installation |
Beaucoup de ces systèmes utilisent en interne des briques de frameworks PHP et chargent des bibliothèques via Composer. Pour la plupart, nous avons des pages dédiées avec des conseils de sécurisation, par exemple WordPress, Shopware 6 et TYPO3.
Comment savoir si mon site fonctionne sur PHP ?
De nombreuses entreprises ne savent pas exactement quels systèmes tournent chez elles, surtout lorsqu'une agence a construit le site. Ces étapes apportent de la clarté :
- Établir un inventaire : lister tous les domaines, sous-domaines et interfaces web internes, y compris les systèmes de test et les anciennes pages de campagne.
- Interroger l'hébergeur ou l'agence : quel système, quelle version de PHP, quel mode d'exécution (PHP-FPM, mod_php, LiteSpeed) ? Demandez une réponse écrite.
- Consulter le panneau d'hébergement : dans Plesk, cPanel et interfaces similaires, la version de PHP figure pour chaque site. Notez que les rétroportages de la distribution ne changent pas le numéro affiché.
- Vérifier sur le serveur : les administrateurs voient, d'après les processus et la configuration du serveur web, quel environnement PHP livre réellement.
- Ne pas oublier les appareils : les systèmes NAS, routeurs et appliances ont souvent une interface web qui peut elle aussi fonctionner sur PHP.
# Sur le serveur : quels processus PHP tournent ?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Prendre les exigences système au sérieux
Chaque éditeur publie avec quelles versions de PHP son logiciel est testé. Ces indications sont la base de toute planification de mise à jour : une mise à jour de PHP vers une version que le CMS ne prend pas encore en charge peut paralyser le site. Un CMS qui ne fonctionne qu'avec une version de PHP sans mises à jour de sécurité est un risque permanent.
Vérifiez donc, selon les exigences système de l'éditeur pour votre version exacte, quelles versions de PHP entrent en ligne de compte, et comparez avec les versions de PHP corrigées. Pour les systèmes qui ne fonctionnent qu'avec PHP 8.1 ou plus ancien, le projet PHP ne fournit plus de mises à jour officielles.
Ce que PHP2Shell signifie pour les exploitants de CMS et de boutiques
PHP2Shell se compose des failles CVE-2026-109618 et CVE-2026-109619 dans l'interpréteur PHP, toutes deux avec un CVSS de 9,2. Elles permettent d'exécuter du code malveillant sans authentification. Elles sont corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Une mise à jour du CMS ne comble pas ces failles ; notre article Pourquoi une mise à jour de WordPress n'aide pas contre PHP2Shell en explique la raison.
Pour les boutiques, c'est particulièrement lourd, car s'y trouvent des données clients, des commandes et des identifiants d'accès aux services de paiement et d'expédition. Un correctif ne supprime en outre aucun logiciel malveillant injecté auparavant et ne prouve pas qu'il ne s'est rien passé.
Comment PHP SOS aide-t-il concrètement ?
- Nous établissons un inventaire de vos sites web et applications internes basés sur PHP, avec système, version de PHP et mode d'exécution.
- Nous comparons les exigences des éditeurs avec les versions de PHP corrigées et planifions la mise à jour par système.
- Nous installons les mises à jour de PHP, redémarrons tous les processus et vérifions ensuite que le CMS et la boutique fonctionnent correctement.
- En cas de soupçon d'incident, nous examinons le système dans le cadre de l'aide d'urgence PHP2Shell.
Questions fréquentes
WordPress fonctionne-t-il sur PHP ?
Oui. WordPress est une application PHP et nécessite, selon les exigences officielles, PHP ainsi qu'une base de données MySQL ou MariaDB. Les failles de l'interpréteur PHP concernent donc aussi toute installation de WordPress, indépendamment du niveau de WordPress lui-même.
Une mise à jour du CMS aide-t-elle contre PHP2Shell ?
Non. La faille se situe dans PHP, non dans le CMS. Selon drweb.de, WordPress.org ne prévoit d'ailleurs aucune mise à jour propre contre elle. Elle n'est comblée que par une version corrigée de PHP et le redémarrage de tous les processus PHP.
Comment savoir quelle version de PHP mon site de boutique exige ?
Dans les exigences système de l'éditeur pour votre version précise. Ces indications changent à chaque version majeure ; consultez-les donc directement chez l'éditeur et ne les reprenez pas de guides plus anciens.
Les applications internes sont-elles aussi concernées ?
Oui, si elles fonctionnent sur PHP. Les stockages de fichiers comme Nextcloud, les plateformes d'apprentissage comme Moodle, les wikis internes avec MediaWiki ou Matomo pour les statistiques sont des applications PHP. Lors des inventaires, elles sont souvent oubliées.
Un site sans .php dans l'adresse n'est-il pas du PHP ?
Pas forcément. Les systèmes modernes acheminent toutes les adresses via un index.php central, de sorte que .php n'apparaît jamais dans l'URL. Seul un coup d'œil sur le serveur ou une réponse de l'hébergeur ou de l'agence donne la certitude.