Le 21 octobre 2026, le projet PHP a publié un correctif de sécurité pour deux failles critiques, surnommées « php2shell » : CVE-2026-109618 et CVE-2026-109619. Elles permettent, dans certaines conditions, d'exécuter du code à distance sur un serveur, sans avoir de compte sur le site visé.
Votre site est protégé. Les correctifs ont été appliqués sur toute notre infrastructure, pour chacune des versions de PHP que nous proposons, de PHP 5.2 à PHP 8.5. Vous n'avez rien à faire.
Cet article explique quelle version de PHP votre site affiche désormais, et où vérifier par vous-même que chaque version a bien été corrigée.
Ce qui s'est passé
- CVE-2026-109618 : une requête qui atteint la limite de mémoire de PHP au mauvais moment peut laisser des données à moitié initialisées, que PHP traite ensuite comme valides. Le projet PHP a démontré une exécution de code à distance avec la configuration par défaut.
- CVE-2026-109619 : une erreur fatale peut laisser des informations internes qui pointent vers la mémoire d'une requête précédente.
Le projet PHP a corrigé ces failles dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions plus anciennes (8.1, 8.0, 7.x, 5.x) ne sont plus suivies par le projet PHP et n'ont reçu aucun correctif officiel.
Pourquoi nos serveurs sont protégés
Nos serveurs d'hébergement fonctionnent sous CloudLinux, un système conçu pour l'hébergement mutualisé. Les versions de PHP que vous choisissez dans votre console Apanel sont les versions alt-php de CloudLinux : CloudLinux les maintient lui-même et y intègre les correctifs de sécurité, y compris pour les versions que le projet PHP a abandonnées.
CloudLinux a publié les correctifs des deux failles le 21 octobre 2026, le jour même de l'annonce du projet PHP, pour toutes les versions de PHP 5.2 à PHP 8.5. Pour PHP 8.2 à 8.5, CloudLinux a aussi publié le même jour les nouvelles versions officielles du projet PHP. Nous avons installé ces mises à jour sur nos serveurs dès leur publication.
C'est un avantage dont peu d'hébergeurs disposent : si votre site utilise encore PHP 7.4 ou PHP 5.6, il est lui aussi corrigé, alors qu'aucun correctif officiel n'existe pour ces versions.
Quelle version votre site affiche
PHP 8.2, 8.3, 8.4 et 8.5 : votre site affiche maintenant la version officielle corrigée par le projet PHP, soit 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Vous pouvez le vérifier avec phpinfo(), phpversion() ou dans votre CMS.
PHP 8.1 et versions plus anciennes : le projet PHP ne publie plus de nouvelle version pour ces branches. CloudLinux applique donc le correctif directement sur la version existante et publie un nouveau paquet. Le numéro de version de PHP reste le même (par exemple 7.4.33) ; seul le numéro de révision du paquet change (par exemple alt-php74 7.4.33-81, qui contient le correctif). Ce numéro de révision n'apparaît pas dans phpinfo().
Pour ces anciennes versions, un outil d'analyse de sécurité qui se fie uniquement au numéro de version peut signaler votre site comme vulnérable à tort. Vous pouvez transmettre cet article à la personne qui a fait l'analyse.
Vérifier par vous-même
Pour chaque version, le journal public de CloudLinux indique le paquet publié le 21 octobre 2026 et cite les deux failles, CVE-2026-109618 et CVE-2026-109619 : corrigées par la nouvelle version officielle pour PHP 8.2 à 8.5, par un correctif intégré au paquet pour les versions plus anciennes.
Ce que nous vous recommandons
Vous n'avez rien à faire pour être protégé contre ces deux failles. Si votre site utilise une version ancienne de PHP (avant 8.2), nous vous conseillons tout de même de passer à une version récente lorsque votre site le permet : une version récente est plus rapide et reste suivie par le projet PHP lui-même.
Pour aller plus loin