Failles PHP critiques d'octobre 2026 : ce que cela change pour votre site

Mardi 20 octobre, l'équipe de PHP a annoncé la correction de deux failles de sécurité jugées critiques. Les mises à jour sont parues le lendemain, et la presse spécialisée a rapidement évoqué ce sujet sous le nom de PHP2Shell.
Si PHP vous est peu familier, il s'agit du moteur technique qui fait fonctionner la majorité des sites web.

Ces failles présentent un risque sérieux en raison de leur facilité d'exploitation : aucun mot de passe ni compte n'est nécessaire. Une requête construite à cet effet, envoyée à un site dont PHP n'est pas à jour, peut suffire à en prendre le contrôle.

Plusieurs éditeurs de sécurité ont déjà observé des tentatives d'exploitation. Dès qu'une faille de ce type est rendue publique, des robots parcourent le web à la recherche des sites non corrigés.

Les mesures prises par Xooloop Studio

Les serveurs que nous administrons se mettent à jour automatiquement chaque nuit. Ce choix est délibéré : la sécurité d'un site ne doit pas dépendre d'une intervention ponctuelle.
Dans la nuit suivant la publication des correctifs, la nouvelle version de PHP a ainsi été installée sur nos serveurs.

Les sites que nous hébergeons, avec abonnement aux mises à jour, sont déjà corrigés.

Si votre site est hébergé ailleurs

Chez un hébergeur mutualisé, la date de mise à jour est fixée par l'hébergeur, et les délais varient selon les prestataires.

Les questions à poser à votre hébergeur

• Quelle version de PHP fait fonctionner mon site ?
• Cette version a-t-elle reçu le correctif de sécurité ?

Les versions anciennes de PHP demandent une attention particulière : les versions PHP 8.1 et antérieures ne bénéficient plus de correctifs de sécurité.

Un site resté sur une version ancienne est le plus exposé. La réponse adaptée n'est alors pas un correctif supplémentaire, mais une montée de version.