PHP2Shell : WordPress et WooCommerce sont aussi concernés
Un site WordPress ou une boutique WooCommerce peut être exposé à PHP2Shell si le moteur PHP de son hébergement n’a pas reçu le correctif. Mettre à jour WordPress, les extensions ou le thème ne suffit pas à confirmer cette protection. Point vérifié le 22 octobre 2026.
Pourquoi un WordPress à jour peut rester exposé
WordPress est l’application qui gère votre contenu ; PHP est le moteur qui exécute son code sur le serveur. Leurs mises à jour sont distinctes. Vous pouvez donc avoir installé les dernières mises à jour de WordPress et des extensions tout en conservant un moteur PHP qui n’a pas reçu le correctif PHP2Shell. La vérification doit porter sur les deux niveaux, sans les confondre.
Le même raisonnement vaut pour un blog, un site vitrine, un réseau multisite ou une boutique WooCommerce. La présence d’un plugin de sécurité, d’un certificat HTTPS ou d’une page de connexion protégée ne constitue pas une attestation de correction du moteur. La question à poser au fournisseur est précise : les deux CVE sont-elles corrigées dans le paquet PHP effectivement utilisé par mon domaine ?
WordPress auto-hébergé et WordPress.com : distinguer les situations
Pour un WordPress installé chez un hébergeur ou sur votre propre serveur, le correctif dépend du fournisseur ou de la personne qui administre PHP. Vérifiez aussi les préproductions et les anciennes copies encore accessibles : elles peuvent utiliser une autre configuration que le site principal.
WordPress.com est un service d’hébergement distinct. Dans son communiqué du 21 octobre 2026, Automattic annonce que les sites hébergés sur WordPress.com, WordPress VIP, WP Cloud et Pressable sont protégés contre ces vulnérabilités. Cette annonce ne s’applique pas automatiquement à un WordPress installé chez un autre prestataire. Identifiez donc d’abord votre hébergement réel, puis demandez la confirmation qui correspond à cet environnement.
Comment vérifier votre site WordPress
-
Relever la version PHP dans WordPress
Dans l’administration, ouvrez Outils > Santé du site > Informations > Serveur et relevez la version PHP complète. Le numéro de WordPress ne remplace pas cette information. Si cet écran est inaccessible, demandez le relevé à l’hébergeur.
-
Faire confirmer le paquet corrigé
Demandez si le moteur web du domaine corrige CVE-2026-109618 et CVE-2026-109619. Si le fournisseur utilise un rétroportage, conservez sa référence de paquet ou son bulletin : le numéro générique affiché peut ne pas raconter toute l’histoire.
-
Préparer les contrôles de compatibilité
Avant un changement de branche PHP, disposez d’une sauvegarde restaurable et vérifiez le thème ainsi que les extensions sur une copie de test. Distinguez le correctif de la branche existante d’un saut vers une autre branche.
-
Vérifier les fonctions utiles après l’intervention
Contrôlez l’affichage, la connexion, l’édition des pages, les formulaires et les envois d’e-mails. Sur WooCommerce, ajoutez les contrôles du panier, de la livraison et du paiement en mode test adapté.
Quels correctifs PHP rechercher ?
Les premiers correctifs officiels PHP2Shell sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Il faut comparer la version complète à celle de sa propre branche, ou obtenir la confirmation d’un rétroportage par le fournisseur. Une version « 8.3 » seule ne permet pas de conclure.
Le dossier PHP2Shell et versions corrigées fournit le tableau et les avis de sécurité. Notre guide de vérification PHP chez l’hébergeur explique aussi pourquoi le PHP du terminal peut différer du moteur web. Ne basculez pas simplement vers la branche la plus récente sans examiner la compatibilité du site.
Les points à contrôler en plus sur WooCommerce
Une boutique peut afficher ses produits alors que la commande est bloquée. Préparez une courte liste de scénarios : ajouter un produit simple et une variante au panier, choisir une livraison, appliquer un code promotionnel si vous en utilisez et vérifier le paiement avec le mode test du prestataire. Contrôlez également la réception des notifications attendues et les synchronisations de stock ou de commandes indispensables.
Ces tests servent à valider le fonctionnement après intervention ; ils ne constituent pas un test d’exploitation de PHP2Shell. Si vous constatez déjà des comptes inconnus, des redirections ou des fichiers suspects, préservez les journaux et demandez une analyse. Une mise à jour de PHP ne retire pas les éléments qu’un attaquant aurait pu déposer auparavant.
Faut-il refaire le site ou remplacer toutes les extensions ?
Une refonte n’est pas automatiquement nécessaire. Si le site et ses composants fonctionnent avec un PHP corrigé, la priorité est de faire appliquer ce correctif puis de vérifier les parcours utiles. Un thème ou une extension qui bloque durablement un environnement maintenu peut toutefois nécessiter une adaptation ou un remplacement, à préparer sur une copie.
Pour organiser cette intervention, consultez la maintenance WordPress et e-commerce et les prestations de sécurité et nettoyage. Le questionnaire de cette page accepte aussi une demande de vérification préventive : vous n’avez pas besoin d’affirmer que votre site est piraté pour demander de l’aide.
Sources vérifiées le 22 octobre 2026
- Projet PHP : annonces de sécurité et correctifs PHP2Shell.
- Automattic : protection annoncée pour ses services d’hébergement.
- WordPress.org : écran Santé du site et informations du serveur.
Ces sources décrivent le problème et les contrôles disponibles. Seul votre fournisseur peut confirmer l’installation du paquet corrigé sur un hébergement qu’il administre.
Questions fréquentes
PHP2Shell concerne-t-il WordPress sans WooCommerce ?
Mettre WordPress à jour corrige-t-il PHP2Shell ?
Où voir la version PHP dans WordPress ?
Mon site WordPress.com est-il concerné ?
Faisons le point sur votre site WordPress ou WooCommerce
Décrivez ce qui vous préoccupe. Les informations techniques sont facultatives : vous pouvez répondre « Je ne sais pas » et passer les étapes qui ne vous concernent pas.