# Êtes-vous concerné par PHP2Shell ? Faites-le vérifier maintenant

> Incertain d'être concerné par PHP2Shell ? Nous vérifions version, mode d'exécution et correctif à distance. Appelez-nous ou écrivez-nous sur WhatsApp.

Source : https://phpsos.de/fr/soforthilfe/php2shell-betroffen/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** que vous soyez concerné par PHP2Shell dépend de trois choses : la version de PHP, le mode d'exécution et la question de savoir si un correctif a été appliqué, et comment. Si vous avez un doute, contactez-nous maintenant. Vous êtes concerné ? Appelez-nous. Nous vous aidons. Nous clarifions cela à distance, sur le serveur même, et non au feeling, et nous fermons la faille si elle est ouverte.

> **Agir immédiatement:**
> **Ne supprimez rien et ne réinstallez rien pour l'instant.** Même si vous voulez seulement savoir si vous êtes concerné : si le serveur a peut-être déjà été attaqué, nous avons besoin des fichiers et des journaux inchangés. [Signaler une urgence](https://phpsos.de/fr/notfall/), et nous passerons la vérification en revue ensemble.

## Êtes-vous concerné ? Ces cas figurent sur la liste de contrôle

PHP2Shell désigne deux failles critiques dans PHP lui-même (CVE-2026-109618 et CVE-2026-109619, toutes deux avec la note maximale de 9.2 selon CVSS v4.0). Elles permettent d'exécuter du code malveillant à distance sans authentification. Tous les modes d'exécution peuvent être concernés : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Vérifiez chacun de ces systèmes :

- vos propres serveurs, serveurs virtuels et serveurs root avec PHP
- les offres d'hébergement et les serveurs gérés, même si vous n'avez pas accès à la configuration
- les conteneurs et les services de plateforme qui embarquent une image PHP
- les systèmes de test, les environnements de préproduction et les anciens systèmes oubliés qui sont joignables depuis Internet
- les NAS, les appliances ou les logiciels de prestataires qui utilisent PHP en interne

Ce sont précisément les systèmes oubliés qui constituent le risque. Selon Unit 42, il existe plus de 22,6 millions d'instances exposées et potentiellement vulnérables, et le BSI (l'office fédéral allemand de la sécurité des technologies de l'information) s'attendait à une exploitation rapide et massive.

## Ce que vous faites tout de suite

1. **Établissez un inventaire.** Notez tous les serveurs, domaines et contrats d'hébergement sur lesquels PHP fonctionne, et qui en est responsable.
2. **Déterminez la version de PHP de chaque système.** Sur les serveurs, avec `php -v`. Notez que la ligne de commande peut utiliser une autre version que le serveur web.
3. **Clarifiez le mode d'exécution.** PHP fonctionne-t-il en PHP-FPM, en mod_php ou via LiteSpeed ? Avec mod_php, l'équipe PHP évalue le risque comme le plus élevé.
4. **Interrogez l'hébergeur et les prestataires.** Par écrit : quelle version est en service, la correction a-t-elle été appliquée, tous les processus ont-ils été redémarrés ?
5. **Conservez les journaux.** La presse spécialisée conseille de conserver les journaux à partir du 20 octobre 2026.
6. **N'attendez pas longtemps.** Si un système est ouvert et que le correctif n'est pas possible immédiatement, le BSI recommande de retirer temporairement le serveur web du réseau.

## Comment PHP SOS aide-t-il concrètement ?

Nous clarifions à distance et avec des preuves si vous êtes concerné.

1. **Faire le point :** vous nous décrivez votre inventaire et nous classons les systèmes selon leur accessibilité et leur risque.
2. **Sécuriser et fermer :** là où la faille est ouverte, nous sécurisons d'abord l'état, puis nous la fermons par la mise à jour suivie d'un redémarrage. Là où ce n'est pas possible immédiatement, nous mettons en place des mesures transitoires, qui ne constituent pas une protection complète.
3. **Examiner et nettoyer :** nous vérifions si la faille a été exploitée avant le correctif et nous nettoyons si nécessaire. Nous distinguons clairement un serveur concerné d'un serveur concerné et peut-être déjà attaqué.
4. **Durcir et rendre compte :** vous recevez une liste par système : version, mode d'exécution, preuve du correctif, points ouverts.

## Comment établir que vous êtes concerné

Un numéro de version ne suffit pas, car les fournisseurs reportent les corrections dans d'anciennes versions (backport). Selon des rapports, Ubuntu 24.04 affiche par exemple toujours 8.3.6 même après la mise à jour. Trois méthodes sont fiables :

| Méthode | Ce qu'elle montre | Limite |
|---|---|---|
| Comparer la version aux versions corrigées | 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou supérieure : corrigé | ne vaut que pour les versions d'origine, pas pour les backports |
| Test sur `memory_hard_limit_percent` | `bool(false)` signifie : directive inconnue, donc concerné | à exécuter séparément pour chaque version et chaque mode d'exécution |
| Rechercher les numéros CVE dans le journal des modifications du paquet | prouve les backports pour les distributions | la source est l'archive de sécurité du fournisseur |

Le test se présente ainsi :

```bash
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
```

La page [Vérifier correctement la version de PHP et l'état des correctifs](https://phpsos.de/fr/php2shell/php-version-pruefen/) explique comment contrôler proprement la version et l'état du correctif. Un aperçu des branches est donné par [Quelles versions de PHP sont concernées ?](https://phpsos.de/fr/php2shell/betroffene-php-versionen/). L'article [php -v affiche un ancien numéro](https://phpsos.de/fr/blog/php-v-zeigt-alte-nummer/) explique pourquoi l'affichage peut sembler ancien malgré le correctif.

## Concernés et non corrigeables : PHP 8.1 et les versions antérieures

Pour PHP 8.1 et les versions antérieures, le projet PHP ne publie plus de mises à jour officielles, seulement des backports minimaux du code source pour 7.4, 8.0 et 8.1. Qui utilise une telle version a généralement deux voies : un fournisseur avec un backport démontré, ou la migration vers une version maintenue. Il existe des offres commerciales de support à long terme ; c'est au fournisseur de confirmer par écrit si et quand elles couvrent PHP2Shell. Nous vous aidons à y voir clair avec [PHP 8.1 et antérieur : ce qui s'applique maintenant](https://phpsos.de/fr/php2shell/php-8-1-und-aelter/) et à la mise en œuvre dans le [service de correctifs PHP](https://phpsos.de/fr/leistungen/php-patch-service/).

## Ce que vous devriez nous envoyer

- La liste de vos serveurs, domaines et hébergeurs
- La version de PHP de chaque système, si elle est connue
- Le mode d'exécution et le serveur web, s'ils sont connus
- L'indication de la présence de Cloudflare ou d'une autre protection en amont, et de l'accessibilité directe ou non du serveur d'origine
- Les réponses de votre hébergeur, si vous l'avez déjà interrogé
- Une personne de contact pour les validations et les redémarrages

## Pourquoi PHP SOS

Nous travaillons Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous avez un interlocuteur unique, qui passe votre inventaire en revue et étaye chaque affirmation, au lieu de se contenter de lire des numéros de version. Nous travaillons à distance, sans déplacement, et documentons ce que nous avons vérifié. Nous ne donnons une affirmation comme « sûr » que dans la mesure où elle peut être démontrée. Pour les environnements plus vastes, l'[aide d'urgence PHP2Shell](https://phpsos.de/fr/leistungen/php2shell-soforthilfe/) entre en ligne de compte.

## Vous êtes concerné ? Appelez-nous. Nous vous aidons.

Si vous ne savez pas si vous êtes concerné, c'est une raison suffisante pour nous contacter maintenant. Appelez-nous ou écrivez-nous sur WhatsApp. Nous prenons le relais dès le premier message et clarifions la situation avec vous sur le serveur. [Signaler une urgence maintenant](https://phpsos.de/fr/notfall/).


## Questions fréquentes

**Suis-je concerné par PHP2Shell si je n'utilise que WordPress ou une boutique en ligne ?**  
Peut-être. Les failles se trouvent dans PHP, pas dans le CMS. Ce qui compte, c'est la version de PHP et le mode d'exécution qui servent réellement vos pages ; une mise à jour de WordPress n'y change rien.

**Le numéro de version suffit-il pour savoir si je suis corrigé ?**  
Pas toujours. Les distributions et les hébergeurs appliquent parfois les corrections sous forme de backport ; le numéro reste alors identique. Les éléments probants sont le journal des modifications du paquet avec les numéros CVE ou la confirmation écrite de votre fournisseur.

**Existe-t-il un test rapide pour savoir si ma version de PHP contient la correction ?**  
Selon le manuel PHP, une version qui ne connaît pas la directive memory_hard_limit_percent est concernée. Le test doit être exécuté séparément pour chaque version de PHP et chaque mode d'exécution, car la ligne de commande peut utiliser une autre version que le serveur web.

**Les anciennes versions de PHP comme 7.4 ou 8.0 sont-elles aussi concernées ?**  
Selon la presse spécialisée, presque toutes les versions sont concernées, jusqu'à PHP 5.4. Pour 8.1 et les versions antérieures, le projet PHP ne publie plus de mises à jour officielles, seulement des backports minimaux du code source. Il appartient au fournisseur de confirmer s'il les a appliqués.

**Cloudflare me protège-t-il si je suis concerné ?**  
En partie. Cloudflare a déployé des règles de protection, mais prévient lui-même qu'elles ne remplacent pas la mise à jour. Si votre serveur d'origine est directement accessible, la protection est contournée.

## Sources

- [php.net : avis de sécurité](https://www.php.net/)
- [Manuel PHP : configuration de base (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [PHP : versions prises en charge](https://www.php.net/supported-versions.php)
- [BSI : Office fédéral allemand de la sécurité des technologies de l'information](https://www.bsi.bund.de/)