PHP2Shell : ce qui s'est passé
Le 21 octobre 2026, le projet PHP a publié en urgence des correctifs pour deux failles critiques surnommées PHP2Shell. Elles permettent à un attaquant, sans identifiant, d'exécuter du code sur le serveur qui héberge le site.
Selon The Hacker News, la publication a même été avancée d'un jour après une fuite. Les failles concernent toutes les façons courantes de faire tourner PHP sur un serveur web (PHP-FPM, Apache mod_php, LiteSpeed). Le 26 octobre, d'après Rapid7, l'agence américaine CISA les a ajoutées à son catalogue des vulnérabilités activement exploitées.
| Version de PHP | Correctif officiel | Ce que ça veut dire pour vous |
|---|---|---|
| 8.2, 8.3, 8.4, 8.5 | Oui (8.2.35, 8.3.36, 8.4.27, 8.5.12) | Protégé dès que votre hébergeur a fait la mise à jour |
| 8.1, 8.0, 7.4 | Non, correctifs à compiler soi-même | Protégé seulement si l'hébergeur les a appliqués |
| 7.3 et antérieures | Non | Exposé, à traiter en urgence |
Et ce n'est pas tout : le 23 octobre, PHP a signalé une troisième faille distincte (CVE-2026-115560), sans correctif à cette date, seulement des mesures d'atténuation. La vigilance doit donc durer plusieurs semaines.
Votre boutique PrestaShop est-elle concernée ?
Votre boutique est concernée si elle tourne sur une version de PHP non corrigée, ce qui est presque toujours le cas en PrestaShop 1.6 et 1.7. Pour le savoir, il suffit de regarder la version de PHP dans votre back-office.
Dans PrestaShop, allez dans Paramètres avancés > Informations : la version de PHP s'affiche dans la partie « Informations sur le serveur ». Notez-la, avec votre version de PrestaShop.
| Votre version de PrestaShop | PHP généralement utilisé | Niveau d'exposition |
|---|---|---|
| 1.6 | PHP 5 ou 7 | Élevé : aucune version corrigée compatible |
| 1.7 | PHP 7 | Élevé : dépend entièrement de votre hébergeur |
| 8 | PHP 7.2 à 8.1 | Moyen : à vérifier avec l'hébergeur |
| 9 | PHP 8.1 à 8.4 | Faible si PHP est en 8.2 ou plus et à jour |
Vous êtes en 1.7 ? Le problème est simple à formuler : PrestaShop 1.7 ne fonctionne pas sur PHP 8.2 ou plus récent. Vous ne pouvez donc pas installer les versions corrigées officielles sans changer de version de PrestaShop.
Que faire cette semaine
Quatre actions, dans cet ordre, réduisent le risque immédiatement sans attendre une migration.
- Interrogez votre hébergeur par écrit : « Avez-vous appliqué les correctifs PHP2Shell (CVE-2026-109618 et CVE-2026-109619) sur la version de PHP de mon site, et quelles mesures prenez-vous pour CVE-2026-115560 ? » Sur un hébergement mutualisé, c'est lui qui met PHP à jour.
- Si vous gérez votre propre serveur, passez sur une version corrigée, ou appliquez les correctifs de votre distribution Linux. Les réglages temporaires qui circulent ne remplacent pas la mise à jour.
- Vérifiez votre back-office : comptes administrateurs inconnus, modules installés récemment, fichiers modifiés à des dates inhabituelles. Au moindre doute, changez les mots de passe et les clés du webservice.
- Faites une sauvegarde complète de la base et des fichiers, stockée hors du serveur.
Vous voulez la version courte ? Si votre hébergeur ne vous donne pas de réponse précise sous 48 heures, considérez que votre boutique est exposée.
Pourquoi c'est le moment de planifier la migration
Pour une boutique en PrestaShop 1.6 ou 1.7, la seule solution durable est de passer à PrestaShop 9, qui fonctionne sur des versions de PHP corrigées et maintenues. Les correctifs de l'hébergeur ne sont qu'un sursis : la prochaine faille trouvera la même situation.
Une migration se prépare en quelques semaines, sans couper la boutique : je crée un environnement PrestaShop 9 neuf, j'y migre toutes vos données, puis je réinstalle les modules et un thème compatibles 9. Le pas-à-pas complet est dans mon guide pour migrer PrestaShop 1.7 vers 9, et le détail de l'accompagnement sur ma page migration PrestaShop 9.
