Ajouter comme source préférée sur Google
Le 21 octobre 2026, deux vulnérabilités critiques de PHP, connues sous le nom collectif de « PHP2Shell », ont été rendues publiques. Ces vulnérabilités pourraient permettre à des attaquants d’exécuter du code malveillant sur les serveurs concernés sans authentification. L’équipe de développement de PHP a publié le jour même des mises à jour de sécurité d’urgence pour y remédier.
Si votre site WordPress est hébergé chez Kinsta, il est protégé contre PHP2Shell. Nos équipes d’ingénierie et de sécurité ont déployé les mises à jour de sécurité PHP nécessaires sur l’ensemble de notre plateforme d’hébergement, y compris les environnements de production et de staging. Nous n’avons constaté aucune trace d’intrusion liée à ces vulnérabilités.
Voici ce que vous devez savoir sur PHP2Shell, la manière dont nous avons géré ces vulnérabilités et comment vérifier les réglages PHP de votre site.
Qu’est-ce que PHP2Shell ?
PHP2Shell désigne deux vulnérabilités PHP, identifiées sous les références CVE-2026-109618 et CVE-2026-109619. Toutes deux ont reçu une note de gravité critique de 9,2 selon le système CVSS 4.0.
Ces vulnérabilités affectent la manière dont PHP gère la mémoire lors du traitement des requêtes. Si elles étaient exploitées, un pirate pourrait exécuter du code malveillant sur un serveur, compromettant potentiellement les sites web et les données qui y sont hébergés.
WordPress fonctionnant sous PHP, ces vulnérabilités représentaient également un risque pour les sites WordPress utilisant les versions de PHP concernées.
Contrairement aux vulnérabilités détectées dans une extension, un thème ou le cœur de WordPress, PHP2Shell affecte le moteur d’exécution PHP lui-même. Cela signifie que la mise à jour de WordPress ou de ses extensions ne permettrait pas de résoudre le problème. Il fallait appliquer un correctif au logiciel PHP du serveur.
L’équipe PHP a publié des correctifs pour les versions 8.2, 8.3, 8.4 et 8.5 de PHP le 21 octobre. Les versions plus anciennes de PHP ont bénéficié de correctifs de sécurité fournis par des responsables de maintenance tiers.
Pour les clients de Kinsta, nous avons géré ces mises à jour au niveau de l’hébergement plutôt que d’exiger des modifications au niveau des installations WordPress individuelles.
Comment Kinsta a réagi à PHP2Shell
Nos équipes d’ingénierie et de sécurité ont commencé à se préparer à PHP2Shell avant même que les correctifs de sécurité officiels ne soient disponibles. Notre réponse a consisté à ajouter des protections pour réduire le risque d’exploitation, puis à déployer les versions corrigées de PHP dès leur publication.
Blocage des tentatives d’exploitation avec Cloudflare
L’une de nos premières priorités était de protéger les sites web pendant que nous préparions les correctifs PHP. Kinsta utilise le pare-feu d’applications web (WAF) de Cloudflare pour aider à identifier et à bloquer les requêtes malveillantes avant qu’elles n’atteignent les sites web hébergés sur notre plateforme.
Avant la divulgation de PHP2Shell, Cloudflare avait déployé de nouvelles protections de pare-feu conçues pour détecter les tentatives d’exploitation de ces vulnérabilités. Notre équipe a activé les protections appropriées sur l’ensemble de notre infrastructure d’hébergement.
De ce fait, nos pare-feu en périphérie bloquaient déjà les tentatives d’exploitation de PHP2Shell pendant que nous attendions les correctifs PHP et tout au long de leur déploiement.
Nous avons également appliqué des modifications supplémentaires à la configuration PHP sur l’ensemble de nos environnements d’hébergement afin de réduire l’exposition potentielle. Tout au long de cet incident, nous sommes restés en contact étroit avec notre partenaire de protection contre les vulnérabilités, Patchstack, en partageant des informations sur les menaces et les schémas d’attaque que nous avons observés.
Ces mesures ont permis de protéger les sites web pendant que nous préparions les mises à jour, mais elles ne remplaçaient pas l’application des correctifs à PHP lui-même.
Application des mises à jour de sécurité PHP
Dès que l’équipe PHP a publié les correctifs, notre équipe d’ingénieurs a commencé à valider et à déployer les paquets PHP corrigés sur l’ensemble de la plateforme.
Nous avons déployé les mises à jour de sécurité pour PHP 7.4 à PHP 8.5, y compris les correctifs pour les versions plus anciennes fournis par Freexian, notre fournisseur de paquets PHP.
Comme nous gérons PHP au niveau de la plateforme, les clients n’ont pas eu besoin d’installer les correctifs ni de modifier manuellement leurs versions de PHP. Notre équipe s’est chargée des mises à jour sur l’ensemble de l’infrastructure d’hébergement tout en maintenant en place les protections supplémentaires de Cloudflare.
Le 22 octobre 2026, à 08 h 26 UTC, nous avons indiqué que l’incident était résolu sur notre page publique de statut, confirmant que tous les sites étaient protégés et que les mises à jour de sécurité avaient été déployées sur l’ensemble de la plateforme.
Tout au long de l’incident, notre équipe a surveillé les activités suspectes, vérifié manuellement les sites qui semblaient être ciblés et continué à effectuer des contrôles ponctuels des environnements d’hébergement à la recherche de signes de compromission. Nous n’avons trouvé aucune preuve de violations réussies liées à PHP2Shell.
Vous pouvez consulter les mises à jour publiées tout au long de l’intervention sur notre page d’état consacrée à l’incident de sécurité PHP.
Les clients de Kinsta doivent-ils prendre des mesures ?
Non. Si votre site WordPress est hébergé chez Kinsta, nous avons déjà appliqué les mises à jour de sécurité nécessaires.
Vous n’avez pas besoin de changer de version de PHP, d’installer un correctif spécifique ni de mettre votre site hors ligne en raison de PHP2Shell. Les mesures de protection s’appliquent également à vos environnements de staging.
Si vous avez suspendu certains environnements par mesure de précaution pendant que nous corrigions les vulnérabilités, vous pouvez les réactiver dès à présent. Notre équipe a également effectué les mises à jour de sécurité nécessaires sur les environnements suspendus.
Vous devez toutefois continuer à mettre à jour votre installation WordPress, vos extensions et vos thèmes dans le cadre de la maintenance habituelle de votre site web. Ces mises à jour sont toutefois distinctes des correctifs PHP2Shell, que nous avons déjà appliqués au niveau de l’hébergement.
Où trouver les mises à jour et obtenir de l’aide
Si vous gérez des sites WordPress pour des clients, vous pouvez leur transmettre notre rapport officiel sur l’incident de sécurité PHP. Ce document présente les mises à jour que nous avons effectuées à mesure que les versions corrigées de PHP devenaient disponibles et confirme la résolution de l’incident.
Si vous avez des questions concernant un site web en particulier ou si vous souhaitez vérifier son état de sécurité, vous pouvez contacter directement notre équipe de support via MyKinsta. Notre équipe est à votre disposition 24/7 pour vous aider.
Pour plus d’informations, consultez notre guide sur la manière de contacter le support Kinsta.
Joel est un développeur d'interfaces publiques qui travaille chez Kinsta en tant que rédacteur technique. Il est un enseignant passionné par l'open source et a écrit plus de 200 articles techniques, principalement autour de JavaScript et de ses frameworks.
