Mettre à jour WordPress ou ses extensions ne protège pas votre site contre les deux failles critiques PHP corrigées le 21 octobre. Référencées CVE-2026-109618 et CVE-2026-109619 (surnommées PHP2Shell par Wiz Research), ces brèches logées dans le moteur du langage autorisent une exécution de code à distance sans authentification préalable. Pour bloquer la menace, l’intervention doit avoir lieu directement sur l’environnement serveur.
L’équipe officielle de PHP a publié quatre versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces rustines réparent deux erreurs de gestion de mémoire interne qui surviennent avant même que le code de votre site ou de votre CMS n’effectue ses propres contrôles de sécurité. Toutes les configurations web traitant des requêtes (PHP-FPM, mod_php ou php-cgi) sont exposées, avec un niveau d’alerte maximal pour les serveurs utilisant mod_php.
Sur un hébergement mutualisé ou infogéré, ne vous fiez pas uniquement au numéro de version affiché dans votre panneau d’administration. Certaines distributions Linux maintiennent leurs paquets en rétroportant les correctifs de sécurité sans modifier la numérotation principale de PHP. Contactez votre hébergeur pour confirmer que les correctifs des deux CVE sont bien appliqués à l’instance exacte qui fait tourner votre site, surtout si plusieurs projets cohabitent sur le même compte avec des versions différentes.
Pour les serveurs dédiés ou VPS que vous administrez vous-même, mettre à jour les paquets via votre gestionnaire habituel ne suffit pas : pensez à redémarrer le service associé (comme php-fpm ou Apache) pour charger le nouveau moteur en mémoire. Enfin, les branches 8.1 et antérieures ne reçoivent plus de suivi officiel, même si des correctifs minimaux ont été fournis pour les versions 7.4, 8.0 et 8.1 ; vérifiez auprès de votre fournisseur de dépôts si une maintenance prolongée couvre votre installation.
