Le 21 octobre 2026, PHP a publié des correctifs d'urgence pour deux failles critiques, baptisées PHP2Shell. Une seule requête envoyée par un inconnu peut suffire à prendre le contrôle du serveur, avant même que votre site ne s'exécute. PHP fait tourner WordPress et la plupart des sites de médias, d'entreprises et d'institutions en Guinée. Si votre site utilise PHP, il est concerné.

Ce qui s'est passé

Les deux failles portent les références CVE-2026-109618 et CVE-2026-109619. Elles sont notées 9,2 sur 10 selon le score CVSS 4.0. Elles touchent le cœur de PHP, et non une extension ou un thème. La première est liée à une gestion de la mémoire saturée, tandis que la seconde concerne des données qui persistent d'une requête à l'autre. Dans les deux cas, un attaquant peut exécuter son propre code sans compte ni mot de passe.

Toutes les installations qui servent des pages web sont concernées : PHP-FPM, Apache avec mod_php, particulièrement exposé, php-cgi, FrankenPHP et LiteSpeed.

Les attaques ont déjà commencé. Une première tentative a été repérée le 17 octobre, quatre jours avant l'annonce, et des exploitations réelles ont été observées depuis.

Un troisième avis, référencé CVE-2026-115560, a été publié le 23 octobre. PHP estime son exploitation peu probable, car il ne concerne que des configurations inhabituelles. Il convient de le surveiller sans céder à la panique.

Pourquoi les médias sont en première ligne

Un site d'information constitue une cible de choix : il bénéficie d'une forte audience, porte une parole qui fait autorité et repose souvent sur un WordPress qui n'est pas toujours mis à jour régulièrement.

Un serveur compromis peut servir à publier de fausses informations sous votre logo, à défigurer votre page d'accueil en pleine actualité, à insérer des liens frauduleux dans vos articles ou à voler les comptes de vos journalistes. Les conséquences ne sont pas seulement techniques : elles touchent directement la confiance de vos lecteurs.

Les cinq gestes à faire cette semaine

1. Repérez la version de PHP qui sert réellement votre site

Votre panneau d'hébergement, comme cPanel ou Plesk, ou la page « Santé du site » de WordPress vous permet généralement de connaître la version utilisée.

Attention : la commande php -v exécutée en ligne de commande peut afficher une autre installation que celle qui sert vos pages web. Pensez également à recenser les installations oubliées : conteneurs Docker, anciens sous-domaines et sites de test.

2. Mettez à jour PHP, puis redémarrez les services

Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Sur Debian, Ubuntu ou Red Hat, le paquet fourni par la distribution peut conserver un ancien numéro de version tout en intégrant le correctif. Consultez donc l'avis de sécurité de votre distribution plutôt que de vous fier uniquement au numéro affiché.

Après la mise à jour, redémarrez tous les processus PHP concernés, notamment PHP-FPM et Apache. Tant qu'ils continuent de fonctionner, l'ancienne version peut rester en mémoire.

Si vous utilisez PHP 7.4, 8.0 ou 8.1, sachez que ces versions ne sont plus maintenues. PHP a publié des correctifs minimaux à compiler soi-même, mais la solution recommandée reste de migrer vers une version bénéficiant d'un support actif.

3. Vous ne pouvez pas mettre à jour aujourd'hui ? Réduisez les risques

Ces mesures permettent de réduire l'exposition, mais ne remplacent pas l'installation du correctif. Elles doivent être appliquées dans php.ini ou dans la configuration du pool PHP-FPM, puis suivies d'un redémarrage. Une modification via ini_set() ou un fichier .user.ini ne suffit pas.

Désactivez la fonctionnalité de suivi des téléversements de sessions avec le paramètre session.upload_progress.enabled=0. Sur PHP 8.5, ajoutez également fatal_error_backtraces=0.

Limitez la taille des requêtes envoyées au serveur en réglant post_max_size à 8 Mo si aucun téléversement n'est nécessaire, ou à 32 Mo si le site en a besoin. Bloquez également les formulaires multipart là où ils ne sont pas indispensables.

Si votre site utilise Cloudflare, activez les règles de pare-feu PHP2Shell, disponibles même avec l'offre gratuite.

En dernier recours, isolez le serveur ou mettez-le hors ligne le temps d'appliquer les correctifs.

4. Vous utilisez un hébergement mutualisé ? Exigez une réponse écrite

Sur un hébergement mutualisé, la mise à jour dépend de votre prestataire. Posez-lui deux questions par écrit : quelle version de PHP sert mon site et à quelle date le correctif PHP2Shell a-t-il été appliqué ?

Sans réponse claire sous 48 heures, considérez votre site comme potentiellement exposé.

5. Vérifiez qu'aucun intrus n'est déjà présent

La mise à jour ferme la porte aux attaques, mais elle ne supprime pas un éventuel intrus déjà installé sur le serveur.

Examinez les comptes administrateurs créés récemment, aussi bien dans WordPress que sur le serveur. Recherchez les fichiers PHP inconnus, en particulier dans le dossier des médias wp-content/uploads, ainsi que les fichiers .htaccess modifiés et les redirections suspectes.

Changez ensuite les mots de passe et les clés d'accès, puis conservez une sauvegarde saine en dehors du serveur.

Le conseil GuinéeBuzz

Une faille comme PHP2Shell ne se règle pas le jour où elle fait la une : elle se prépare. Un site mis à jour chaque mois, surveillé et sauvegardé hors du serveur peut traverser ce type d'alerte en quelques heures. Un site oublié depuis deux ans risque, lui, de voir ses lecteurs découvrir le piratage avant son propriétaire.

C'est le métier de GBS IT, le pôle technologique de GuinéeBuzz : accompagner les sites web guinéens, en particulier les médias en ligne, pour qu'une alerte de sécurité reste une ligne dans un rapport plutôt que de devenir une crise.

Concrètement, GBS IT propose un diagnostic PHP2Shell de votre site pour vérifier la version réellement utilisée, évaluer son exposition et rechercher d'éventuelles traces d'intrusion.

L'accompagnement comprend également la mise à jour de PHP, de WordPress et de ses extensions sans perturber le fonctionnement du site, ainsi qu'une maintenance mensuelle incluant le suivi des mises à jour, la surveillance et les sauvegardes hors du serveur.

L'offre comprend aussi un hébergement géré en France, sur AWS à Paris, avec une copie de secours en Guinée et un support en français depuis Conakry.

Demandez votre diagnostic

Boh mady pour GBS IT by GuineeBuzz