Le 21 octobre 2026, une faille de sécurité critique baptisée PHP2Shell a été découverte dans PHP, la technologie qui fait tourner la majorité des sites web, dont les sites WordPress et Kirby. Vous en avez peut-être entendu parler, peut-être pas. Voici ce que ça veut dire pour votre site, en langage clair, comment ça s’est passé pour mes clients, et les 3 questions à vous poser dès aujourd’hui.
PHP2Shell, c’est quoi en 2 mots ?
PHP2Shell est une faille de sécurité qui permet à un pirate de prendre le contrôle d’un serveur web à distance, sans mot de passe. Elle se trouve dans PHP, le « moteur » invisible qui fait fonctionner votre site, un peu comme le moteur d’une voiture que vous ne voyez jamais mais sans lequel rien n’avance.
Pour vous donner une idée de la gravité, les experts l’ont notée 9,2 sur 10. Et ce n’était pas une menace théorique. Des tentatives d’attaque ont été repérées le jour même de l’annonce, et même quelques jours avant.
Le piège, c’est que le problème ne vient pas de votre site lui-même. Vous pouvez avoir un site WordPress ou Kirby parfaitement à jour, bien construit, avec très peu d’extensions, il reste exposé tant que le serveur qui l’héberge n’a pas été corrigé.
WordPress ou Kirby, même combat
WordPress et Kirby, les 2 CMS avec lesquels je travaille, sont tous les deux écrits en PHP. Kirby a l’avantage de fonctionner sans base de données, ce qui ferme la porte à toute une famille d’attaques. Mais face à PHP2Shell, ça ne change rien. La faille se trouve dans PHP lui-même, donc un site Kirby est concerné exactement comme un site WordPress, et se corrige de la même façon, au niveau du serveur.
Concrètement, qu’est-ce que je risque ?
Si le serveur de votre site n’est pas mis à jour, un pirate pourrait, en théorie,
- modifier ou défigurer votre site,
- y cacher des liens ou des pages frauduleuses (ce qui peut faire chuter votre référencement Google),
- récupérer des informations sensibles stockées sur le serveur, comme des mots de passe ou les données d’un formulaire de contact,
- se servir de votre site pour envoyer du spam ou attaquer d’autres sites.
Pas de panique pour autant. La correction existe depuis le 21 octobre. La seule question, c’est de savoir si quelqu’un l’a appliquée sur votre site.
Ce que j’ai fait pour mes clients (spoiler, pas grand-chose de technique)
Je vais être honnête, je n’ai pas passé la nuit sur des serveurs. Les sites dont j’assure la maintenance sont hébergés chez Combell et Infomaniak, 2 hébergeurs européens sérieux. La mise à jour de PHP, c’est eux qui s’en sont chargés, sur l’ensemble de leurs serveurs. Mon travail était ailleurs.
1. Prévenir mes clients avant qu’ils ne s’inquiètent
Le lendemain de l’annonce, tous mes clients en maintenance ont reçu un mail court. Une faille critique a été découverte dans PHP, je suis la situation pour votre site, et vous n’avez rien à faire de votre côté. Pas de jargon, pas de dramatisation.
Résultat, zéro panique. Un client a transféré mon message à ses collègues pour les rassurer. D’autres m’ont posé une question précise, du type « est-ce qu’il faut passer à la toute dernière version de PHP ? ». Réponse, non. Une version corrigée et toujours suivie suffit, pas besoin de tout chambouler.
2. Laisser les hébergeurs faire leur travail
Ensuite, j’ai simplement attendu que Combell et Infomaniak déploient les correctifs sur leurs serveurs. Rien de plus.
C’est peut-être la leçon la plus utile de cette semaine. Le choix de l’hébergeur fait une énorme partie du travail de sécurité. Avec un hébergeur sérieux, une faille comme celle-ci se règle sans que vous ayez à lever le petit doigt. Avec un hébergement bas de gamme ou un serveur que plus personne ne surveille, c’est une autre histoire.
3. Répondre aussi aux questions qui n’ont rien à voir
Mon anecdote préférée de la semaine. Un client m’a répondu « est-ce que c’est lié au fait que l’interface de WordPress a changé ? ». Non, rien à voir. Mais sa remarque était juste. La dernière version de WordPress a changé l’éditeur, et l’administration de son site était devenue moins intuitive. Un petit correctif temporaire, puis une mise à jour de son thème planifiée pour qu’il retrouve ses repères.
Ce que j’en retiens, c’est qu’une alerte de sécurité fait remonter toutes les petites inquiétudes en sommeil. C’est le bon moment pour y répondre.
Les 3 questions à vous poser aujourd’hui
Vous n’avez pas besoin d’être technicien pour savoir si votre site est entre de bonnes mains. Posez-vous simplement ces 3 questions.
Qui s’occupe de la sécurité de mon site ?
Si la réponse est « personne », « le développeur qui l’a fait il y a 4 ans » ou « je ne sais pas », c’est un signal d’alerte. Un site web n’est pas une plaquette imprimée, il a besoin d’entretien régulier, comme une voiture ou une chaudière.
Est-ce que quelqu’un m’a prévenu cette semaine ?
Une faille comme PHP2Shell, ça ne passe pas inaperçu chez les professionnels du web. Si personne ne vous a contacté, ça ne veut pas dire que votre site est en danger. Mais ça veut dire que vous ne savez pas s’il l’est.
Mon hébergeur a-t-il appliqué le correctif ?
La plupart des hébergeurs sérieux ont communiqué sur le sujet. Jetez un oeil à vos mails ou à leur page d’actualité. En cas de doute, posez-leur simplement la question « Vos serveurs sont-ils à jour contre la faille PHP2Shell du 21 octobre ? ».
Si vous voulez vérifier vous-même, WordPress affiche la version de PHP dans le menu Outils, puis Santé du site, onglet Infos, rubrique Serveur. Sur Kirby, l’information se trouve dans la vue Système du Panel. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12 (ou plus récentes). Une version 8.1 ou plus ancienne n’est plus maintenue du tout, et c’est un problème en soi.
La sécurité d’un site, ce n’est pas que les mises à jour du CMS
PHP2Shell rappelle une évidence qu’on oublie facilement. La sécurité d’un site internet ne se limite pas à cliquer sur « mettre à jour » dans WordPress. Il y a aussi tout ce qui tourne en dessous, le serveur, PHP, la base de données. Des éléments invisibles pour vous, mais essentiels.
Face à une faille comme celle-ci, 3 choses font la différence.
- Un hébergeur sérieux, qui applique les correctifs vite et sur tous ses serveurs.
- Quelqu’un qui suit votre site, et qui sait chez qui il est hébergé et sur quelle version il tourne.
- Une communication claire, pour que vous soyez prévenu avant de l’apprendre dans la presse.
C’est aussi pour ça que je construis des sites sobres, avec peu d’extensions. Moins d’éléments, c’est moins de portes d’entrée pour les pirates et des mises à jour plus simples. Un principe qui rejoint d’ailleurs ma démarche d’éco-conception.
FAQ
Mon site WordPress ou Kirby est-il concerné par PHP2Shell ?
Probablement, si son serveur n’a pas été mis à jour depuis le 21 octobre 2026. La faille touche PHP, et non WordPress ou Kirby eux-mêmes, donc presque tous les sites construits avec ces CMS sont potentiellement concernés.
Un site Kirby est-il mieux protégé qu’un site WordPress ?
Pas face à cette faille. Kirby fonctionne sans base de données et embarque généralement moins d’extensions, ce qui réduit les risques au quotidien. Mais PHP2Shell vise le moteur PHP du serveur, que les 2 CMS partagent.
Est-ce que je dois faire quelque chose moi-même ?
Si quelqu’un assure la maintenance de votre site, normalement non. Sinon, contactez votre hébergeur ou un professionnel pour faire vérifier la version de PHP de votre serveur.
Mettre à jour WordPress, Kirby et les extensions suffit-il ?
Non. Ces mises à jour restent importantes, mais cette faille se corrige au niveau du serveur, généralement par l’hébergeur ou le prestataire de maintenance.
Comment savoir si mon site a été piraté ?
Des signes possibles sont des pages que vous n’avez pas créées, des redirections vers d’autres sites, des alertes de Google ou un site soudainement très lent. Au moindre doute, faites appel à un professionnel.
Votre site est-il suivi ?
Si vous ne savez pas qui veille sur votre site, c’est le bon moment pour régler ça. Je propose une maintenance de site, WordPress comme Kirby, avec un hébergement européen chez Infomaniak ou Combell, qui couvre les mises à jour, la surveillance et le suivi des failles de sécurité. Je travaille avec WordPress et Kirby, dont je suis partenaire certifié. J’accompagne surtout des PME, indépendants et artisans et des associations. Le plus simple reste de me contacter pour qu’on fasse le point ensemble sur votre site.
Sources : Help Net Security, The Hacker News, Datadog Security Labs.