# PHP2Shell : ce que les e-commerçants doivent faire maintenant > Le 21 octobre 2026, le projet PHP a corrigé deux failles critiques, CVE-2026-109618 et CVE-2026-109619, appelées PHP2Shell, qui permettent d’exécuter du code sur un serveur web sans se connecter. Toute boutique auto-hébergée qui tourne sous PHP, comme WooCommerce, PrestaShop, Magento ou OpenCart, doit passer à PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou à un paquet corrigé de son hébergeur. La CISA américaine a ajouté les deux failles à son catalogue de vulnérabilités exploitées le 26 octobre 2026. Canonical: https://tellnod.com/fr/guides/php-vulnerability-online-store-checklist Last updated: 2026-10-30 Author: Tellnod team ## À faire aujourd’hui 1. **Identifier la version de PHP de votre boutique.** Consultez le panneau de votre hébergeur ou, sous WordPress, Outils, Santé du site, Informations, Serveur. Notez la version et si votre hébergeur gère PHP pour vous. 2. **Mettre à jour PHP ou faire confirmer le correctif par l’hébergeur.** Passez à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou demandez par écrit à votre hébergeur si le serveur intègre les correctifs du 21 octobre 2026 pour CVE-2026-109618 et CVE-2026-109619. 3. **Sauvegarder avant et après.** Téléchargez une sauvegarde complète des fichiers et de la base de données, et gardez-en une copie hors du serveur, pour pouvoir restaurer une version saine en cas de problème. 4. **Mettre à jour la boutique et tous les plugins.** Installez les mises à jour en attente de WordPress, WooCommerce ou de votre solution, du thème et de chaque plugin ou module, et supprimez ceux que vous n’utilisez plus. 5. **Vérifier les administrateurs et changer les mots de passe.** Supprimez les comptes administrateur que vous ne reconnaissez pas, puis changez les mots de passe du back-office, de l’hébergement et de la base de données, ainsi que les clés d’API et mots de passe des services d’e-mail stockés dans la boutique. ## Ce qui s’est passé, en termes simples PHP est le langage de programmation sur lequel tournent beaucoup de boutiques en ligne auto-hébergées. Le 21 octobre 2026, le projet PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619 [S1]. Les chercheurs en sécurité appellent ce duo PHP2Shell [S5][S6]. Les deux sont notées 9,2 sur 10 [S5]. Les failles se trouvent dans PHP lui-même, pas dans un plugin en particulier. Selon le projet PHP, elles concernent toutes les installations de PHP qui traitent des requêtes web, et sur certaines configurations de serveur, une requête envoyée par quelqu’un qui n’est pas connecté peut déclencher l’attaque avant même que le code de la boutique s’exécute [S1]. La connexion au back-office, un plugin de sécurité ou un mot de passe robuste ne suffisent donc pas à la bloquer. Le projet PHP indique qu’il n’existe pas de contournement complet et que la mise à jour est le seul choix sûr [S1]. Les tentatives d’attaque ont commencé tôt. Datadog rapporte qu’AWS a observé des tentatives d’exploitation dès le 17 octobre 2026, avant la publication du correctif [S6]. Le 26 octobre 2026, l’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté les deux CVE à son catalogue Known Exploited Vulnerabilities, qui recense les failles dont l’exploitation active est attestée [S3][S4]. > Un problème distinct, CVE-2026-115560, a été publié par le projet PHP le 23 octobre 2026. Il ne fait pas partie de PHP2Shell et n’est pas corrigé par les versions du 21 octobre. Il ne concerne que les applications qui combinent des réglages de session inhabituels ; le correctif est prévu pour la prochaine version régulière et, d’ici là, le réglage recommandé est `session.upload_progress.enabled = 0` [S2]. Cet article reflète la situation au 30 octobre 2026. ## Suis-je concerné ? Si vous hébergez vous-même votre boutique, elle tourne très probablement sous PHP. WordPress est une application PHP [S7], donc les boutiques WooCommerce tournent sous PHP, tout comme PrestaShop, Magento (Adobe Commerce) et OpenCart. Un blog, une page de campagne ou un espace client sous WordPress compte aussi, même si la boutique est ailleurs. | Votre installation | Tourne sous PHP ? | Qui met PHP à jour | | --- | --- | --- | | WooCommerce sur WordPress | Oui | Vous ou votre hébergeur, selon l’offre | | PrestaShop, Magento ou OpenCart sur votre propre serveur | Oui | Vous, ou l’agence ou le développeur qui gère le serveur | | WordPress infogéré ou hébergement e-commerce infogéré | Oui | En général l’hébergeur ; demandez-lui de confirmer le correctif | | Plateforme entièrement hébergée comme Shopify | Vous ne gérez pas PHP vous-même | La plateforme maintient ses propres serveurs | Pour connaître votre version de PHP, regardez le panneau de votre hébergeur, généralement dans un menu Configuration PHP ou Version PHP. Sous WordPress, allez dans Outils, puis Santé du site, puis l’onglet Informations, et ouvrez Serveur. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ou plus récentes dans chaque branche [S1]. Le numéro de version ne dit pas toujours tout. Les distributions Linux et les hébergeurs ont reçu les correctifs à l’avance et peuvent les intégrer à leurs propres paquets sans changer le numéro de version [S1][S6]. En cas de doute, demandez directement à votre hébergeur si le serveur inclut les correctifs pour CVE-2026-109618 et CVE-2026-109619. Les boutiques sous PHP 8.1 ou plus ancien sont dans une situation plus délicate. Le projet PHP ne met plus à jour ces versions ; certains éditeurs fournissent des correctifs rétroportés, et le projet PHP renvoie vers eux ou vers une mise à niveau [S1]. Notez aussi que PHP 8.2 arrive en fin de vie le 31 décembre 2026 [S1]. ## À faire aujourd’hui La liste numérotée ci-dessus est la version courte. Quelques détails rendent chaque étape plus sûre. ### Si vous gérez le serveur vous-même Mettez PHP à jour via les paquets système ou votre panneau, puis redémarrez PHP et le serveur web pour que chaque processus utilise la version corrigée. La CISA recommande de corriger immédiatement les systèmes exposés à internet et, si un système ne peut pas être corrigé rapidement, de le mettre hors ligne ou de placer un pare-feu applicatif web devant lui à titre temporaire [S3]. Le projet PHP liste quelques réglages provisoires, mais prévient qu’ils ne rendent pas une installation sûre [S1]. ### Si un hébergeur ou une agence s’en occupe Envoyez une demande écrite courte : « Merci de confirmer que notre serveur intègre les correctifs PHP pour CVE-2026-109618 et CVE-2026-109619 publiés le 21 octobre 2026, et de nous indiquer la version ou le paquet PHP utilisé. » Conservez la réponse. ### Sauvegarder avant toute modification Faites une sauvegarde complète des fichiers et de la base de données et stockez-la ailleurs que sur le serveur. Si la boutique a été compromise avant le correctif, il faudra peut-être restaurer une sauvegarde saine plus ancienne : n’écrasez donc pas encore les anciennes sauvegardes. ### Mettre à jour les plugins et vérifier les administrateurs Corriger PHP ferme cette brèche, mais le reste de la boutique demande aussi de l’attention. Mettez à jour WordPress, WooCommerce ou votre solution, le thème et chaque plugin. Dans la liste des utilisateurs, cherchez les comptes administrateur que vous n’avez pas créés. Changez ensuite les mots de passe et régénérez les clés d’API et mots de passe SMTP stockés dans la boutique, par exemple pour le paiement, la livraison et l’e-mail, car toute personne ayant eu accès au serveur a pu les lire. ## Protéger votre fichier clients et votre réputation d’expéditeur La base de données d’une boutique contient plus que des commandes. On y trouve en général le nom, l’adresse e-mail, l’adresse de livraison et l’historique d’achat de chaque client, ainsi que la liste des abonnés à votre newsletter. Quelqu’un qui peut exécuter du code sur le serveur peut souvent lire cette base, et aussi utiliser le serveur pour envoyer des e-mails en votre nom. ### Les signes qui doivent alerter - Des messages de non-remise ou des réponses à des e-mails que vous n’avez jamais envoyés. - Un avertissement de votre hébergeur pour envoi de spam ou charge serveur inhabituelle. - Des comptes administrateur, plugins ou fichiers que vous n’avez pas ajoutés, ou des changements sur la page de paiement. - Des rapports DMARC qui montrent des serveurs que vous n’utilisez pas envoyant avec votre domaine. - Une hausse soudaine des plaintes pour spam, ou votre domaine ou l’adresse IP du serveur sur une liste de blocage. La [réputation d’expéditeur](https://tellnod.com/glossary#sender-reputation) de votre domaine se construit lentement et peut chuter vite quand du spam part en votre nom. Les enregistrements SPF, DKIM et DMARC indiquent aux messageries quels serveurs peuvent envoyer pour votre domaine, et les rapports DMARC montrent qui essaie ; l’[explication de SPF, DKIM et DMARC](https://tellnod.com/fr/guides/spf-dkim-dmarc-explained) détaille chaque enregistrement et le [guide de configuration DMARC](https://tellnod.com/fr/guides/how-to-set-up-dmarc) explique comment lire les rapports. Si le serveur de votre boutique n’a pas à envoyer d’e-mails marketing, ne l’incluez pas dans votre enregistrement SPF : cela limite ce qu’un serveur compromis peut faire avec votre domaine. ### Si des données clients ont pu être exposées Les obligations légales après une violation de données varient selon les pays. De nombreuses lois sur la protection des données imposent de prévenir l’autorité de contrôle, les clients concernés, ou les deux, dans un délai fixé : vérifiez les règles de chaque marché où vous vendez, ou consultez un avocat, avant d’écrire à vos clients. Notre [guide des lois sur l’e-mail marketing](https://tellnod.com/fr/guides/email-marketing-consent-laws) couvre les règles de consentement par marché ; les règles de notification des violations sont distinctes et dépendent du droit local. Quand vous écrivez à vos clients, restez simple : ce qui s’est passé, quelles données sont concernées, ce que vous avez fait et à quoi ils doivent faire attention. Des e-mails d’hameçonnage se faisant passer pour la boutique suivent souvent, alors précisez que vous ne demanderez jamais de mot de passe ni de numéro de carte par e-mail. Pour une marque de prêt-à-porter comme Ninefold, ce message partirait de l’adresse habituelle, sans offre de réduction, pour ne pas ressembler à une publicité. ## Réduire les risques pour la prochaine fois PHP2Shell ne sera pas la dernière mise à jour urgente. Une boutique simple à tenir à jour est plus facile à protéger. - **Moins de plugins.** Chaque plugin ou module est du code qui tourne sur votre serveur et doit être mis à jour. Supprimez ceux que vous n’utilisez plus et, quand c’est possible, remplacez plusieurs petits plugins par un seul bien maintenu. - **Une branche de PHP maintenue.** Préparez la sortie de PHP 8.2 avant sa fin de vie le 31 décembre 2026, et quittez dès maintenant toute version plus ancienne [S1]. - **Hébergement ou services infogérés.** Un hébergement infogéré, ou des services hébergés pour le paiement, la recherche ou l’e-mail, confient les correctifs à un prestataire dont c’est le métier. Demandez-leur en combien de temps ils ont corrigé cette fois. - **Mises à jour automatiques et sauvegardes externes.** Activez les mises à jour mineures automatiques quand votre solution le permet et conservez des sauvegardes régulières hors du serveur. - **Un responsable désigné.** Décidez qui suit les alertes de sécurité pour la boutique : vous, un développeur ou l’hébergeur. ## La place de Tellnod Tellnod est un [connecteur MCP](https://tellnod.com/glossary#mcp-connector) pour rédiger, prévisualiser et envoyer des e-mails marketing depuis Claude ou ChatGPT. Il fonctionne comme un service hébergé sur l’infrastructure de Tellnod, pas sur le serveur de votre boutique : l’utiliser à la place d’un plugin d’e-mail marketing, c’est un plugin de moins à mettre à jour sur le serveur et un identifiant d’envoi de moins stocké dans la base de données de la boutique. Cela réduit ce qui se trouve sur votre serveur ; cela ne rend pas votre boutique sûre. Vous devez toujours mettre à jour PHP et le logiciel de la boutique, et votre fichier clients se trouve alors aussi chez Tellnod : il est légitime de demander à tout prestataire comment il le protège. La [page sécurité](https://tellnod.com/security) explique comment Tellnod gère les envois et les données. Pour essayer, [connectez Tellnod](https://tellnod.com/fr/connect) à Claude ou ChatGPT ; rien ne part tant que vous n’avez pas appuyé sur Confirm sur la [carte de validation](https://tellnod.com/glossary#approval-card). ## FAQ ### Qu’est-ce que PHP2Shell ? PHP2Shell est le nom donné par les chercheurs à CVE-2026-109618 et CVE-2026-109619, deux failles critiques de PHP qui peuvent permettre d’exécuter du code sur un serveur web sans se connecter. Le projet PHP les a corrigées le 21 octobre 2026 [S1][S6]. ### Ma boutique WooCommerce est-elle concernée ? WooCommerce tourne sur WordPress, qui est une application PHP [S7] : elle est donc concernée, sauf si le serveur utilise déjà PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou un paquet corrigé de votre hébergeur [S1]. En cas de doute, demandez à votre hébergeur. ### Une boutique Shopify est-elle concernée ? Sur une plateforme entièrement hébergée comme Shopify, vous ne faites pas tourner PHP sur votre propre serveur : il n’y a donc pas de PHP à mettre à jour de votre côté. Tout site séparé que vous hébergez vous-même, comme un blog WordPress, doit quand même être vérifié. ### Un plugin de sécurité ou un pare-feu suffit-il ? Non. L’attaque peut démarrer avant que le code de la boutique ou les plugins s’exécutent, et le projet PHP indique que la mise à jour est le seul choix sûr [S1]. La CISA ne cite le pare-feu applicatif web que comme mesure temporaire le temps de corriger [S3]. ### La mise à jour du 21 octobre corrige-t-elle aussi CVE-2026-115560 ? Non. CVE-2026-115560 est un problème distinct publié le 23 octobre 2026, dont le correctif est prévu pour la prochaine version régulière. D’ici là, le projet PHP recommande `session.upload_progress.enabled = 0` [S2]. ## Sources - [S1] PHP: Security advisory: critical remote code execution vulnerabilities, update now: (checked 2026-10-30) - [S2] PHP: Informational advisory: session upload progress: (checked 2026-10-30) - [S3] CISA: Critical vulnerabilities in PHP require immediate patching: (checked 2026-10-30) - [S4] CISA: Known Exploited Vulnerabilities catalog: (checked 2026-10-30) - [S5] Rapid7: CVE-2026-109618 and CVE-2026-109619, critical unauthenticated remote code execution in PHP: (checked 2026-10-30) - [S6] Datadog Security Labs: PHP2Shell, critical vulnerabilities in PHP: (checked 2026-10-30) - [S7] WordPress.org: Requirements: (checked 2026-10-30)