PHP2Shell (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permet l'exécution de code à distance sur tout serveur PHP, sans authentification. Corrigez en mettant à jour PHP vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Si vous ne pouvez pas patcher vous-même, contactez Eurastech ou consultez notre guide technique complet. (Source : php.net, 2026)
Depuis le 21 octobre 2026, ces deux failles critiques menacent chaque site web qui tourne sur PHP. Score de gravité : 9,2 sur 10 (Source : php.net, 2026). Pas une faille théorique : une porte ouverte qui permet à un attaquant d'exécuter du code sur votre serveur sans mot de passe, sans compte, sans toucher votre application.
Si votre site tourne sur PrestaShop, Laravel, WordPress ou tout autre CMS PHP, lisez ce qui suit.
Ce qui s'est passé
Deux failles critiques dans le moteur PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permettent l'exécution de code à distance sur tout serveur web, sans authentification. Le 21 octobre 2026, l'équipe PHP a publié un correctif d'urgence hors cycle pour ces deux vulnérabilités (Source : php.net, 2026) :
- CVE-2026-109618 : un problème de gestion mémoire permet à un attaquant de corrompre les données internes de PHP via une simple requête HTTP
- CVE-2026-109619 : un état interne de PHP survit entre deux requêtes, permettant à la deuxième requête d'exploiter la mémoire laissée par la première
Les deux permettent une exécution de code à distance (RCE), le niveau de gravité le plus élevé en cybersécurité.
La configuration la plus exposée : Apache avec mod_php. L'exploit se déclenche avant même que votre code applicatif ne s'exécute. Ni votre pare-feu applicatif, ni votre code PrestaShop ou Laravel ne peuvent l'intercepter.
Ce que vous risquez concrètement
Sans correctif, un attaquant peut voler vos données clients, injecter du malware sur votre site, détruire votre référencement Google et déclencher des sanctions réglementaires. Voici le détail de chaque risque.
Vol de données clients et paiement
Un attaquant ayant accès à votre serveur peut lire votre base de données, vos fichiers de configuration (avec les mots de passe), vos logs de transactions. Sur un PrestaShop e-commerce, cela inclut noms, adresses, emails, historique d'achats, et potentiellement les données de paiement si votre intégration ne respecte pas PCI DSS à la lettre.
Injection de malware et défacement
Votre site peut être transformé en distributeur de malware pour vos visiteurs, ou redirigé vers des pages frauduleuses. Google peut signaler votre site comme dangereux via Safe Browsing et afficher un avertissement "Ce site risque d'endommager votre ordinateur", une mort immédiate pour votre trafic et votre crédibilité.
Perte de référencement (SEO)
Un site compromis peut perdre ses positions Google rapidement, et la récupération prend souvent des mois (documentation Google Search Central sur les sites piratés). Si votre chiffre d'affaires dépend du trafic organique (e-commerce, média, génération de leads), chaque jour d'inaction aggrave la facture.
Sanctions réglementaires
Au Maroc, la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) impose une déclaration sous 72 heures en cas de violation de données personnelles (loi 09-08, article 26 ; détails). En Europe, le RGPD prévoit des amendes jusqu'à 4 % du chiffre d'affaires (article 83, paragraphe 5). Ne pas corriger une faille connue et documentée aggrave votre responsabilité légale.
Votre site est exposé ? Contactez Eurastech maintenant — intervention sous 24 heures.
Perte de confiance
Vos clients, partenaires et fournisseurs apprennent qu'une faille critique est publique. S'ils découvrent que vous n'avez pas agi, la confiance commerciale est entamée, parfois de manière irréversible pour une PME.
Qui est concerné ?
Tout site utilisant PHP est potentiellement vulnérable :
| Plateforme | Vulnérable ? | Urgence |
|---|---|---|
| PrestaShop (toutes versions) | Oui | Critique : e-commerce = données sensibles |
| Laravel | Oui | Critique : applications métier, API |
| WordPress | Oui | Haute : premier CMS mondial, cible prioritaire |
| Drupal, Joomla, Magento | Oui | Haute |
| Applications PHP sur mesure | Oui | Variable selon l'exposition |
Les versions de PHP corrigées : 8.2.35, 8.3.36, 8.4.27, 8.5.12 (Source : php.net, 2026). Les versions antérieures (PHP 7.x, 8.0, 8.1) ne reçoivent aucun correctif officiel.
Comment savoir si vous êtes vulnérable
Demandez à votre équipe technique ou à votre hébergeur :
- Quelle version de PHP tourne sur le serveur ? (
php -ven ligne de commande) - Le correctif a-t-il été appliqué ? (version >= 8.2.35, 8.3.36, 8.4.27 ou 8.5.12)
- Votre hébergeur a-t-il communiqué sur PHP2Shell ?
Si la réponse à la question 2 est "non" ou "je ne sais pas", votre site est exposé en ce moment.
Ce qu'il faut faire maintenant
Si vous avez une équipe technique : consultez notre guide technique complet pour corriger PHP2Shell sur PrestaShop et Laravel. Il couvre la mise à jour PHP, les mitigations temporaires et la détection de compromission.
Si vous n'avez pas d'équipe technique, ou si la situation est urgente : contactez-nous. Eurastech intervient en urgence sur les infrastructures PHP au Maroc : PrestaShop, Laravel, WordPress. Nous avons l'expérience des interventions sur sites compromis et des audits de sécurité complets.
Besoin d'aide ? Contactez Eurastech maintenant
Cette faille est activement exploitable. Chaque heure compte.
- Téléphone : +212 522 102 202
- WhatsApp (réponse rapide) : Envoyer un message sur WhatsApp
- Email : [email protected]
Intervention sous 24 heures. Audit de vulnérabilité, application du correctif, vérification d'intégrité, rapport complet.
Eurastech est spécialiste de la stabilisation et sécurisation d'infrastructures PHP au Maroc. Découvrez nos engagements de maintenance (SLA).