Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux vulnérabilités critiques, surnommées PHP2Shell. Voici les mesures prises chez o2switch et ce que cela change pour votre site.
Deux failles critiques dans PHP
PHP est un langage utilisé par de nombreux sites web, dont tous les sites WordPress. Les deux vulnérabilités (CVE-2026 – 109618 et CVE-2026 – 109619) pouvaient permettre à un attaquant d’exécuter du code à distance sur un serveur, sans avoir besoin de s’authentifier. Le risque réel dépendait de la configuration du serveur. Même un site parfaitement à jour pouvait être concerné : les failles se trouvaient dans PHP lui-même.
Le 20 octobre, l’équipe de sécurité de PHP a annoncé la publication prochaine de correctifs (en anglais). Ceux-ci sont sortis le 21 octobre pour les versions PHP 8.2 à 8.5, comme le précise le bulletin de sécurité officiel (en anglais).
Ce que nous avons fait sur nos serveurs
Des informations techniques ont circulé avant la publication des correctifs. Nous n’avons pas attendu : dès le 20 octobre, nous avons renforcé les protections, puis préparé nos serveurs pendant la nuit.
Le 21 octobre, la version de PHP installée par défaut sur chaque serveur, dite « native », a été corrigée. Les autres versions proposées dans cPanel, de PHP 5.2 à PHP 8.5, ont également reçu les correctifs disponibles.
Pendant ces opérations, l’espace client a été coupé environ une heure, cPanel quelques minutes. Nous avons détaillé ces interventions dans notre annonce du 22 octobre sur le forum o2switch.
Deux protections supplémentaires
Par précaution, deux mesures restent en place :
- Le suivi de progression des envois de fichiers est désactivé par défaut. C’est ce réglage de PHP qui permet, par exemple, d’afficher une barre de progression pendant l’envoi d’un fichier.
- Le contrôle des requêtes contenant des fichiers a été renforcé, par exemple pour les formulaires permettant de joindre un document.
Ces précautions sont maintenues en attendant de confirmer l’efficacité de l’ensemble des correctifs appliqués.
Votre site est-il protégé contre PHP2Shell ?
Si votre site utilise l’une des versions PHP proposées dans cPanel chez o2switch, de PHP 5.2 à PHP 8.5, les correctifs sont déjà en place.
Pour ces deux failles, vous n’avez rien à faire.
Sur la plupart de nos serveurs, les correctifs ont été intégrés sans changer le numéro de version. Par exemple, PHP 8.3.35 reste affiché sous ce numéro, alors que le correctif de sécurité est bien installé. Un numéro inchangé ne veut donc pas dire que le correctif manque. Le repère fiable est la date de compilation, que vous, votre webmaster ou votre prestataire pouvez lire à la ligne Build Date de la page d’informations PHP (phpinfo) : 21 octobre 2026 ou plus récente.
Les versions antérieures à PHP 5.2 ne sont pas couvertes par ces mises à jour. Si votre site utilise encore une telle version, nous vous recommandons vivement de le faire évoluer.
Et pour la suite : utiliser une version de PHP maintenue
Les anciennes versions de PHP ne reçoivent plus les mises à jour de sécurité du projet PHP. Pour PHP2Shell, son équipe a fait une exception et fourni des correctifs pour les versions 7.4, 8.0 et 8.1. Des fournisseurs de support étendu, comme CloudLinux, en ont fourni aussi : c’est ce qui nous a permis de couvrir les versions proposées chez o2switch jusqu’à PHP 5.2.
Rien ne garantit que ce sera encore le cas à la prochaine alerte.
D’après le calendrier officiel de PHP (en anglais), PHP 8.2 ne recevra plus de correctifs de sécurité du projet après le 31 décembre 2026. Si votre site utilise PHP 8.2 ou une version plus ancienne, prévoyez sa migration vers une version encore maintenue. PHP 8.4 est un bon objectif. Vérifiez seulement, avant de changer, que votre site est compatible.
Pour connaître la procédure, consultez notre FAQ sur le changement de version de PHP dans cPanel.
À retenir
- Les correctifs contre PHP2Shell sont appliqués sur les versions PHP 5.2 à 8.5 proposées par o2switch : vous n’avez rien à faire pour ces deux failles.
- Le numéro de version affiché peut rester inchangé, même lorsque les correctifs ont été installés.
- PHP 8.2 arrive en fin de support officiel le 31 décembre 2026. Si vous l’utilisez, ou si votre version est plus ancienne, préparez une migration vers une version maintenue, après vérification de la compatibilité de votre site.
