PHP2Shell : risques pour WordPress, WooCommerce et PrestaShop
Point vérifié le 22 octobre 2026. Les sites WordPress, les boutiques WooCommerce et PrestaShop peuvent être exposés si le PHP de leur hébergement n’est pas corrigé. Une mise à jour du CMS ne remplace pas le correctif du moteur PHP.
Que sont les failles PHP2Shell ?
Les avis de sécurité de PHP identifient CVE-2026-109618, liée au traitement d’un manque de mémoire, et CVE-2026-109619, liée à un état interne réutilisé après libération de mémoire. Elles peuvent permettre une exécution de code à distance sans authentification. Il s’agit de vulnérabilités du moteur PHP, et non d’un module particulier de votre boutique.
La gravité ne permet pas de conclure que votre site a déjà été piraté. Elle justifie de contrôler rapidement l’hébergement, de documenter la correction et d’examiner les éléments suspects si vous en avez observé. Un écran de boutique normal ne prouve pas que le moteur est corrigé ; une ancienne version affichée ne prouve pas non plus à elle seule une compromission.
Quelles versions de PHP faut-il vérifier ?
Voici les premiers correctifs officiels annoncés par PHP. Le numéro à comparer est celui du moteur qui traite les requêtes web du domaine concerné.
| Branche | Premier correctif PHP2Shell officiel |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Un fournisseur peut aussi distribuer un correctif rétroporté dans son propre paquet, sans reprendre le même numéro que la version officielle. Dans ce cas, demandez une référence de paquet ou un bulletin qui confirme explicitement la correction des deux CVE sur votre serveur. Le message « PHP 8 est activé » ne donne pas cette information.
Pour PHP 8.1 et les branches antérieures, l’absence de support normal par le projet PHP impose de vérifier la situation avec le fournisseur et de préparer une migration. Des rétroportages minimaux existent pour certaines branches anciennes ; ils ne rétablissent pas un cycle normal de maintenance.
PrestaShop, WordPress et sites sur mesure : qui est concerné ?
Un site qui dépend de PHP doit vérifier le moteur de son hébergement, quel que soit son CMS. La documentation PHP inclut notamment PHP-FPM, Apache avec mod_php et LiteSpeed dans le périmètre à examiner ; le risque est décrit comme particulièrement élevé avec mod_php. Changer de technologie de serveur ou ajouter une extension de sécurité ne constitue pas une preuve de correction.
Pour un marchand, la bonne question est donc : « Le PHP qui sert ma boutique a-t-il reçu les deux correctifs ? » Demandez la même vérification pour les sous-domaines, préproductions et anciennes copies encore accessibles. La réponse peut varier d’un domaine à l’autre sur un même compte. Notre guide pour vérifier la version PHP réellement utilisée explique comment éviter les confusions avec le PHP du terminal ou du panneau d’hébergement.
WordPress et WooCommerce sont aussi concernés
Un blog WordPress, un site vitrine ou une boutique WooCommerce peut être exposé à ces deux failles par son moteur PHP. Une installation WordPress à jour ne confirme pas que le paquet PHP de l’hébergeur est corrigé. Dans l’administration, relevez la version complète dans Outils > Santé du site > Informations > Serveur, puis demandez la confirmation des deux correctifs au fournisseur.
La situation dépend aussi de l’hébergement : Automattic annonce le 21 octobre 2026 la protection de ses services, dont WordPress.com. Cette annonce ne couvre pas automatiquement les installations WordPress auto-hébergées. Le guide PHP2Shell pour WordPress et WooCommerce détaille ces cas et les contrôles après mise à jour.
Les actions à mener dans l’ordre
-
Identifier le moteur web et le fournisseur
Relevez le domaine, sa version PHP complète et le mode d’exécution. Faites confirmer ces informations par l’hébergeur si le panneau ne montre que la branche.
-
Appliquer le correctif adapté
Demandez le paquet corrigé de la branche compatible avec votre application. Faites vérifier par l’hébergeur la prise en compte du paquet par les processus qui servent réellement le site.
-
Contrôler le fonctionnement de la boutique
Testez une connexion, le panier, les frais de port, le paiement en mode test et les échanges essentiels avec les services tiers. Conservez un relevé des contrôles et des erreurs.
-
Examiner les anomalies éventuelles
Si des comptes, fichiers ou redirections sont apparus sans explication, préservez les journaux disponibles et faites analyser l’incident. Le correctif PHP ne supprime pas les éléments qu’un attaquant aurait déjà déposés.
Faut-il refaire son site pour corriger PHP2Shell ?
Une refonte n’est pas nécessaire par principe. Si votre CMS, vos modules et votre thème fonctionnent avec une branche PHP corrigée, la priorité est de corriger l’hébergement et de vérifier le site. Ne retardez pas cette correction en attendant un nouveau design ou une migration complète.
Une boutique ancienne peut toutefois dépendre de composants qui bloquent le changement de PHP. Il faut alors séparer la protection immédiate, à organiser avec l’hébergeur, du projet de modernisation. La page refonte PrestaShop et PHP2Shell détaille cette démarche. Pour une boutique déjà compromise, consultez aussi la procédure de nettoyage d’un site infecté. Pour organiser les mises à jour ensuite, découvrez la maintenance e-commerce.
Sources et date de vérification
Informations vérifiées le 22 octobre 2026. Les avis peuvent évoluer : faites confirmer l’état actuel de votre serveur par votre fournisseur.
- PHP : avis de sécurité du 21 octobre 2026 et versions corrigées.
- Équipe PHP : avis CVE-2026-109618.
- Équipe PHP : avis CVE-2026-109619.
- NCSC des Pays-Bas : suivi opérationnel PHP2Shell.
Pour WordPress : documentation Santé du site et communiqué Automattic du 21 octobre 2026.
Questions fréquentes
Mon site utilise PHP 8.3 : est-il protégé contre PHP2Shell ?
Mettre à jour PrestaShop suffit-il ?
WordPress et WooCommerce sont-ils aussi touchés par PHP2Shell ?
Un pare-feu protège-t-il complètement contre PHP2Shell ?
Une version vulnérable signifie-t-elle que mon site est piraté ?
Décrivez votre besoin en 1 minute
Quelques questions ciblées pour que je vous réponde avec une estimation, pas avec un questionnaire de plus.