# Quelles versions de PHP sont concernées ?

> Quelles versions de PHP PHP2Shell touche et lesquelles sont corrigées : tableau de 8.5 à 5.4, indications sur les backports, fin de prise en charge et marche à suivre.

Source : https://phpsos.de/fr/php2shell/betroffene-php-versionen/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** la faille de sécurité PHP2Shell touche les branches 8.2 à 8.5 jusqu'aux versions du 21 octobre 2026 et, selon la presse spécialisée, presque toutes les versions jusqu'à PHP 5.4. Elle est corrigée dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour PHP 8.1 et antérieur, il n'existe plus de mises à jour officielles, seulement des backports minimaux du code source pour 7.4, 8.0 et 8.1.

## Quelles versions la faille de sécurité PHP a-t-elle touchées ?

PHP2Shell comprend les deux failles CVE-2026-109618 et CVE-2026-109619, chacune évaluée à 9.2 selon CVSS v4.0. Toutes deux permettent l'exécution de code malveillant à distance sans authentification. Le 21 octobre 2026 à 14 h 00 UTC (16 h, heure allemande), le projet PHP a publié des corrections pour toutes les branches prises en charge.

| Branche PHP | Dernier état avant le correctif | Corrigée à partir de | Prise en charge |
|---|---|---|---|
| 8.5 | 8.5.11 | **8.5.12** | officiellement prise en charge |
| 8.4 | 8.4.26 | **8.4.27** | officiellement prise en charge |
| 8.3 | 8.3.35 | **8.3.36** | officiellement prise en charge |
| 8.2 | 8.2.34 | **8.2.35** | s'achève le 31 décembre 2026 |
| 8.1, 8.0, 7.4 | tous les états | aucune version officielle | seulement des backports minimaux du code source |
| 7.3 à 5.4 | presque toutes concernées selon la presse spécialisée | aucune mise à jour | sans prise en charge depuis des années |

Les indications pour 8.2 à 8.5 proviennent des avis de php.net. L'affirmation relative aux versions jusqu'à PHP 5.4 provient de la presse spécialisée ; il n'existe pas de liste officielle complète pour les anciennes versions.

Pour les non-techniciens, en quelques phrases : si votre serveur affiche une version de la colonne « Corrigée à partir de » ou supérieure et que tous les processus PHP ont ensuite été redémarrés, PHP2Shell est refermée. Si un numéro plus ancien s'y trouve, soit un backport est en jeu, que votre fournisseur doit confirmer, soit la faille est ouverte. Dans le doute, demandez à votre service informatique ou à votre hébergeur précisément ces trois points : version, backport, redémarrage.

## Modes d'exécution concernés

Le numéro de version n'est que la moitié de la réponse. Tous les modes courants d'exploitation de PHP sur un serveur web sont concernés : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. L'équipe PHP estime le risque le plus élevé avec mod_php, car un exploit y a été démontré avant même que le code de l'application ne s'exécute. Détails sous [Pourquoi mod_php porte le risque le plus élevé](https://phpsos.de/fr/php2shell/mod-php-risiko/).

Aucune protection ne vient de l'application : qu'il s'agisse de WordPress, Shopware, TYPO3, Laravel ou d'un développement spécifique, une mise à jour de l'application ne referme pas la faille dans PHP.

## Backports : quand le numéro de version trompe

De nombreuses distributions Linux et de nombreux hébergeurs livrent PHP dans leurs propres paquets. Au lieu de passer à une nouvelle version amont, ils reprennent la correction sous forme de backport dans leur version existante. Cela a une conséquence pratique : le numéro affiché reste ancien. Un exemple de la situation actuelle est Plesk, qui peut continuer d'afficher 8.2.34 alors que l'erreur est corrigée.

Pour vous, cela signifie : le tableau ci-dessus vaut pour les versions officielles de php.net. Pour les paquets de votre distribution ou de l'hébergeur, l'état des paquets et la confirmation du fournisseur sont déterminants. Comment vérifier les deux, [Bien vérifier la version de PHP et l'état des correctifs](https://phpsos.de/fr/php2shell/php-version-pruefen/) le montre. Pour le test rapide en ligne de commande :

```bash
php -v
apt policy php8.3-fpm        # Debian/Ubuntu, le nom du paquet varie selon la version et la source
dnf info php-fpm             # famille RHEL
```

> **Important:**
> Un numéro de version corrigé sur le disque ne signifie pas encore qu'il est en cours d'exécution. Ce n'est qu'après le redémarrage de tous les processus PHP que le serveur travaille avec le code corrigé.

## Que vaut-il pour PHP 8.1 et antérieur ?

Pour PHP 8.1, 8.0 et 7.4, il n'existe que des backports minimaux du code source, c'est-à-dire des corrections dans le code source que quelqu'un doit reprendre et compiler lui-même. Aucune version officielle ne paraît. Certaines distributions à maintenance longue intègrent de telles corrections dans leurs paquets ; savoir si c'est le cas pour votre système ne se clarifie que via le journal des modifications du paquet ou auprès du fournisseur.

À long terme, aucune voie ne contourne une version prise en charge. Quelle version de PHP supportent votre CMS ou votre boutique, vérifiez-le selon les exigences système de l'éditeur, par exemple sur wordpress.org, shopware.com ou typo3.org. Plus d'informations sous [PHP 8.1 et antérieur : ce qui s'applique maintenant](https://phpsos.de/fr/php2shell/php-8-1-und-aelter/).

## Et CVE-2026-115560 ?

Le 23 octobre, php.net a publié un avis sur une troisième faille. Elle n'agit qu'avec une configuration de session inhabituelle. À la date du 25 octobre, il n'existe pas encore de version corrigée ; jusqu'à la prochaine version corrective régulière, la parade est `session.upload_progress.enabled=0`. Une liste de versions n'est attendue qu'avec l'avis complet.

## Comment PHP SOS aide-t-il concrètement ?

- **Inventaire :** nous recensons toutes les versions de PHP sur vos serveurs, y compris les installations secondaires pour certains sites web, qu'on oublie volontiers.
- **Comparaison :** pour chaque installation, nous clarifions s'il s'agit d'une version officielle, d'un backport de distribution ou d'aucune correction.
- **Mise à jour avec attestation :** via le [service de correctifs PHP](https://phpsos.de/fr/leistungen/php-patch-service/), nous installons la correction et redémarrons tous les processus.
- **Plan de migration :** pour les versions sans mises à jour officielles, nous planifions le passage avec la [migration de PHP 8.1 et antérieur](https://phpsos.de/fr/leistungen/php-migration-legacy/) et sécurisons le serveur d'ici là.


## Questions fréquentes

**PHP 8.3.35 est-il encore sûr ?**  
Non, sauf si votre fournisseur a appliqué un backport. 8.3.35 est le dernier état avant le correctif ; PHP2Shell est corrigée dans la branche 8.3 à partir de 8.3.36. Avec des paquets de distribution, le numéro peut rester identique alors que l'erreur est corrigée. C'est alors le journal des modifications du paquet ou la confirmation du fournisseur qui compte.

**PHP 7.4 est-il concerné par PHP2Shell ?**  
Selon la presse spécialisée, presque toutes les versions, jusqu'à PHP 5.4, sont concernées. Pour 7.4, 8.0 et 8.1, il n'existe que des backports minimaux du code source et aucune version officielle. Passer à une version prise en charge est la voie fiable.

**Pourquoi Plesk affiche-t-il 8.2.34 alors que le correctif a été appliqué ?**  
Les distributions et hébergeurs reprennent parfois les corrections sous forme de backport dans leurs paquets existants. Le numéro de version reste alors identique, l'erreur est pourtant corrigée. Vérifiez l'état des paquets ou faites-vous confirmer le correctif par le fournisseur.

**Quelle version de PHP dois-je choisir maintenant ?**  
Une version prise en charge que votre application autorise selon les exigences système de l'éditeur. PHP 8.2 atteint la fin de la prise en charge le 31 décembre 2026 ; qui change de toute façon maintenant devrait en tenir compte.

## Sources

- [php.net : avis de sécurité](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net : versions prises en charge](https://www.php.net/supported-versions.php)
- [TechTarget : PHP2Shell, 22 millions de serveurs exposés](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)