PHP2Shell : deux failles critiques dans PHP ont fait couper des sites d'État, voici quoi vérifier

Le mercredi 21 octobre 2026, les sites des préfectures, des impôts et de Météo-France sont passés hors ligne. Cause : deux failles critiques dans PHP, le langage qui fait tourner une grande partie du web, surnommées PHP2Shell. Si votre site est sous WordPress ou PrestaShop, vous êtes concerné de loin, mais la réponse tient en quelques vérifications.

Le ministère de l'Intérieur a parlé de « maintenance préventive » à la demande de l'ANSSI, selon GeeksLands. Ce n'est donc pas un piratage constaté, mais une précaution. Voici ce que l'on sait, sans alarmisme, et ce que vous pouvez faire dès aujourd'hui. Pour le contexte, voir notre article sur Orange, Revolut et PHP.

01Ce qui s'est passé le 21 octobre

Les sites du ministère de l'Intérieur, des impôts et de Météo-France étaient hors ligne depuis l'après-midi du 21 octobre. Le CERT-FR a publié l'alerte CERTFR-2026-ALE-014. D'après Reuters, relayé par GeeksLands, les Pays-Bas et la Finlande ont eux aussi coupé des sites publics.

La chronologie compte. Selon DPO-Partage, PHP avait annoncé le 20 octobre une mise à jour de sécurité pour le 21 à 14 h UTC. Un message publié puis supprimé sur Hacker News a fait fuiter des détails, et la divulgation, prévue le 22, a été avancée d'un jour. Couper les sites avant que des attaquants s'en emparent était donc un choix de prudence.

02Pourquoi une faille dans PHP change la donne

D'habitude, une faille touche un CMS ou un plugin. Ici, c'est l'interpréteur qui est en cause : le programme qui exécute le code de votre site. Selon l'équipe PHP citée par heise online, toutes les versions depuis PHP 5 seraient concernées. Mettre à jour WordPress ne suffit donc pas.

Les deux failles sont notées 9,2 en CVSS v4.0. Un score de 10 circulait dans la fuite, mais il n'est pas confirmé.

Tous les serveurs ne sont pas exposés pareil

D'après Notebookcheck, une exécution de code complète a été démontrée sur Apache avec mod_php, avec les limites de mémoire et d'entrée par défaut. PHP-FPM termine les processus enfants dont le démarrage échoue. LSAPI peut être concerné. Pour FrankenPHP, le statut reste incertain : Notebookcheck écrit qu'il « semble se comporter comme mod_php », heise juge la situation « unclear ».

Moins exposé ne veut pas dire protégé : seule la mise à jour referme la faille.

03L'IA derrière la découverte

Selon Wiz Research, rapporté par heise et Notebookcheck, les modèles Gemini 4 Argon et GPT-5.6 Sol ont contribué à la découverte des failles, au développement des exploits et à la validation des correctifs. Wiz et OpenAI ont reproduit les failles avec des LLM et aidé à relire le correctif. OpenAI a financé l'audit de Calif et de la PHP Ecosystem Security Team dans le cadre de « Patch the Planet ». Wiz a signalé les bugs le 24 août.

C'est le même Gemini 4 Argon que nous avions présenté comme d'abord réservé aux défenseurs cyber. Ici, l'IA sert à trouver des failles et à vérifier qu'on les a bien fermées. Le contexte : un audit de Quarkslab mené en 2024 avait déjà trouvé des défauts similaires, d'après heise, et la PHP Foundation a créé l'Ecosystem Security Team en mai 2026.

04La checklist pour votre site

Le tableau ci-dessous reprend les versions corrigées annoncées.

Concrètement, voici l'ordre des opérations :

1. Vérifier votre version de PHP

Sur un hébergement mutualisé, la version se règle souvent dans l'espace client. Sur un VPS, c'est à vous de mettre à jour le paquet. Passez à une version corrigée ci-dessus, et sortez de PHP 7.4, 8.0 et 8.1 : l'ANSSI recommande de migrer vers une version suivie.

2. Ne pas oublier le reste du parc

Selon heise, NAS et équipements réseau embarquant PHP (pfSense, OPNsense, Synology, QNAP) sont à vérifier.

3. Traiter les contournements comme provisoires

Des réglages comme memory_limit=-1, expose_php=0 ou un max_input_nesting_level plus bas sont décrits comme des palliatifs. L'équipe PHP écrit : « They should not be considered as anything other than a temporary crutch ». Les règles WAF de Cloudflare sont aussi présentées comme temporaires. Si la correction immédiate est impossible, le CERT-EU recommande d'isoler les applications exposées.

05Quel impact pour votre référencement ?

Il n'existe aucun lien établi entre ces failles et le classement Google, et nous n'en inventerons pas. Les risques réels sont indirects : un site indisponible, une désindexation si l'indisponibilité dure, ou une compromission qui injecterait des pages indésirables.

Côté exploitation, les sources ne sont pas d'accord. L'ACSC et watchTowr n'en signalent pas, Patchstack et Aikido en rapportent sans confirmation de PHP, et Notebookcheck écrit : « Aucune compromission réussie n'a été confirmée jusqu'à présent. » Une fois le correctif posé, surveillez la Search Console : pages inconnues, alertes de sécurité, chutes d'indexation. Gardez en tête que certains rapports accusent du retard, donc ne concluez pas trop vite sur une baisse.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo