Le 21 octobre 2026, l’équipe de développement de PHP a publié une alerte concernant PHP2Shell : deux vulnérabilités critiques permettent à des attaquants d’exécuter du code non autorisé sur des serveurs web affectés. Des correctifs sont disponibles dès maintenant : https://www.php.net/index.php#2026-10-21-5
Propriétaires de sites : agissez immédiatement. Mettez à jour votre environnement PHP vers la version sécurisée la plus récente : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou ultérieure). Si vous utilisez des versions plus anciennes telles que 7.4, 8.0 ou 8.1, passez à une version PHP supportée ou appliquez les correctifs de sécurité fournis par votre distributeur d’exploitation ou votre hébergeur. Retarder la mise à jour peut laisser votre site vulnérable à des attaques, des interruptions de service et au vol de données.
Comment savoir si votre site est concerné par PHP2Shell
Si vous n’êtes pas certain d’être affecté, utilisez l’outil PHP2Shell Risk Assessment Tool pour identifier rapidement une exposition potentielle, comprendre votre niveau de risque et obtenir des recommandations sur les mesures à prendre pour protéger votre site.
Conseils pour les utilisateurs
1. Changez votre mot de passe si une organisation dont vous utilisez le site vous informe qu’elle a été impactée par ce problème.
2. Restez vigilant face aux arnaques. Les cybercriminels peuvent tirer parti de cette situation : si vous recevez un SMS ou un courriel affirmant un problème de sécurité et invitant à cliquer sur un lien, ne cliquez pas immédiatement. Allez directement sur le site de l’entreprise ou contactez-la par un autre moyen pour vérifier.
3. Vérifiez votre hygiène numérique : assurez-vous que vos applications et vos logiciels de sécurité sont à jour sur tous vos appareils.
4. Utilisez des outils pour vous protéger : Trend Micro ScamCheck peut aider à vérifier des messages suspects. Trend Micro Mobile Security (mobile) ou Trend Micro Maximum Security (ordinateurs portables et de bureau) peuvent contribuer à maintenir votre sécurité.
Appliquez sans délai les correctifs recommandés par l’équipe PHP ou par votre fournisseur d’infrastructure.
