Faille PHP 2026 : votre site PME est en danger immédiat

Le 21 octobre 2026, une alerte de sécurité majeure a été lancée dans le monde entier : deux failles critiques, baptisées PHP2Shell, ont été découvertes dans le langage de programmation PHP. Ce nom ne vous dit peut-être rien, mais PHP, c'est le moteur invisible qui fait tourner des millions de sites web — y compris probablement le vôtre. Avec un score de gravité de 9,2 sur 10 (le maximum étant 10), ces vulnérabilités permettent à un pirate de prendre le contrôle total de votre site ou de votre logiciel de gestion en quelques minutes, sans même avoir besoin de votre mot de passe. En France, les PME sont en première ligne. Voici ce que vous devez savoir — et faire — dès aujourd'hui.

Qu'est-ce que PHP2Shell et pourquoi c'est si grave ?

PHP est un langage de programmation utilisé pour construire des sites web dynamiques : boutiques en ligne, sites vitrines, portails clients, ERP (logiciels de gestion d'entreprise), et bien d'autres outils du quotidien. On estime que 77 % des sites web dans le monde utilisent PHP. La faille PHP2Shell — c'est le nom donné à ces deux vulnérabilités critiques — exploite une faille dans la manière dont PHP traite certaines requêtes envoyées à votre serveur. En clair : un cybercriminel peut envoyer une instruction spécialement conçue à votre site, et celui-ci va l'exécuter comme si c'était un ordre légitime. Le pirate obtient alors ce qu'on appelle une 'exécution de code à distance' — il peut lire vos fichiers, voler vos données clients, installer un logiciel malveillant, ou bloquer totalement votre activité. Pas besoin d'être un génie de l'informatique pour y parvenir : des outils automatisés circulent déjà sur des forums clandestins pour exploiter cette faille en masse.

Quelles versions PHP sont touchées ? Comment savoir si vous êtes concerné ?

Les versions PHP concernées par cette faille PHP 2026 sont toutes les branches antérieures aux correctifs publiés le 21 octobre 2026, soit : PHP 8.1 avant la version 8.1.32, PHP 8.2 avant la version 8.2.24, et PHP 8.3 avant la version 8.3.12. Les versions PHP 7.x et antérieures, qui ne reçoivent plus aucune mise à jour depuis plusieurs années, sont également vulnérables — et dans ce cas, il n'y aura pas de correctif : il faut migrer. Si vous avez un site WordPress, PrestaShop, Drupal, un ERP comme Dolibarr ou EBP Web, ou tout autre outil accessible via un navigateur, il y a de fortes chances que PHP soit en dessous. Pour savoir quelle version tourne sur votre hébergement, connectez-vous à votre espace d'administration d'hébergeur (OVH, Ionos, LWS, o2switch…) et cherchez la rubrique 'PHP' ou 'Configuration du serveur'. Votre prestataire informatique ou webmaster peut également vous le confirmer en deux minutes.

Pourquoi les PME françaises sont particulièrement exposées

La réalité est simple : les grands groupes ont des équipes informatiques dédiées qui appliquent les correctifs de sécurité en quelques heures. Dans une PME, le site web a souvent été créé par une agence il y a trois ou cinq ans, et personne ne s'en occupe vraiment depuis. Les mises à jour s'accumulent, les versions vieillissent. C'est exactement le profil que les pirates ciblent. Une attaque réussie via la vulnérabilité PHP2Shell peut avoir des conséquences très concrètes pour votre entreprise : vol des données personnelles de vos clients (avec risque de sanction RGPD et obligation de notification à la CNIL), mise hors ligne de votre site ou de votre ERP pendant plusieurs jours, demande de rançon pour récupérer vos données, ou encore usurpation de votre identité en ligne. La sécurité du site web d'une PME, ce n'est pas un luxe technique : c'est une question de continuité d'activité.

Ce que vous pouvez faire dès maintenant

1. Contactez votre hébergeur ou votre prestataire web aujourd'hui. Envoyez-leur un message simple : 'Quelle version de PHP tourne sur mon hébergement ? Est-elle à jour par rapport aux correctifs du 21 octobre 2026 ?' La plupart des hébergeurs français (OVH, o2switch, LWS…) permettent de changer de version PHP en un clic depuis leur interface. Demandez-leur de le faire si ce n'est pas déjà fait.

2. Mettez à jour PHP vers la dernière version stable. Si vous êtes sur PHP 8.1, passez en 8.1.32 ou supérieur. Si vous êtes sur PHP 8.2, passez en 8.2.24 ou supérieur. Si vous êtes sur PHP 8.3, passez en 8.3.12 ou supérieur. Si vous êtes encore sur PHP 7.x, planifiez une migration en urgence : cette version n'est plus maintenue et ne recevra aucun correctif.

3. Mettez à jour votre CMS et vos plugins. Un site WordPress ou PrestaShop à jour réduit considérablement la surface d'attaque. Si votre tableau de bord affiche des mises à jour disponibles, appliquez-les maintenant — ou demandez à votre webmaster de le faire.

4. Vérifiez que votre site dispose d'une sauvegarde récente. En cas d'attaque, une sauvegarde datant de moins de 24 heures peut vous faire économiser des jours d'arrêt. Demandez à votre hébergeur si les sauvegardes automatiques sont activées et testez la restauration au moins une fois par an.

5. Si vous n'avez pas de prestataire informatique, contactez un spécialiste cybersécurité PME. Des structures comme easy-cyber.tech peuvent auditer votre site rapidement et sécuriser votre infrastructure avant qu'il ne soit trop tard. Agir maintenant coûte infiniment moins cher que gérer une crise après une attaque.