Ne vérifiez que des systèmes qui vous appartiennent ou dont vous êtes responsable. Cette page et notre vérificateur se contentent de comparer des numéros de version que vous saisissez vous-même, dans votre navigateur. Rien ici ne teste, ne sonde ni n’analyse un serveur. Site indépendant, sans lien avec le PHP Group ni php.net.
Réponse courte
Pour un hébergement mutualisé, c’est l’hébergeur qui installe le correctif PHP, pas vous. Sur les six hébergeurs du tableau ci-dessous, quatre ont publié un avis : OVHcloud, IONOS, Infomaniak et Hostinger indiquent chacun avoir appliqué le correctif (OVHcloud pour ses clusters d’hébergement web, en précisant qu’il poursuit le travail sur les versions précédentes). Deux autres (o2switch, Gandi) n’avaient aucune déclaration officielle sur les pages que nous avons consultées (relevé daté du 22 octobre 2026). Dans tous les cas, ne vous fiez pas à un « corrigé » seul : relevez la version de PHP de votre site, comparez-la aux versions corrigées (8.2.35, 8.3.36, 8.4.27, 8.5.12) dans le vérificateur et, si elle est plus basse, demandez par écrit à votre hébergeur quand votre offre sera corrigée.
Rappel en trente secondes
« php2shell » est le nom donné par Wiz Research à deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619. Le PHP Group écrit qu’elles peuvent permettre une exécution de code à distance sans authentification, et que toutes les installations PHP qui traitent des requêtes web sont concernées (avis php.net). Le CERT-FR a publié l’alerte CERTFR-2026-ALE-014 : il y liste comme concernées toutes les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, ainsi que les 8.2 à 8.5 antérieures aux versions corrigées. Les failles sont dans PHP lui-même, pas dans WordPress ni dans vos extensions : mettre à jour votre CMS ne les corrige pas. Détails : php2shell, de quoi s’agit-il et comment corriger.
| Branche | Version corrigée (php.net) |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 et plus ancien | Aucune version publiée par php.net : seulement des correctifs minimaux en code source pour 7.4, 8.0 et 8.1. Certains éditeurs et panneaux fournissent leur propre build corrigé (voir plus bas) ; sinon, il faut un correctif de l’hébergeur ou un passage à une branche supportée |
php.net précise : « There are no complete mitigations, updating is the only safe choice » (en clair : aucune mesure d’atténuation ne suffit, seule la mise à jour corrige la faille). Les protections annoncées par un hébergeur (règles de pare-feu applicatif, désactivation de fonctionnalités) sont donc un filet provisoire, pas la correction.
Où en sont les hébergeurs
Relevé daté du 22 octobre 2026 (UTC). Ces pages évoluent d’heure en heure : ouvrez le lien avant de décider. Le tableau ne liste que les hébergeurs pour lesquels nous avons un relevé vérifié.
| Hébergeur | Ce qu’il dit | Ce que vous devez faire | Source officielle |
|---|---|---|---|
| OVHcloud (hébergement web) | Indique que toutes les versions de PHP de 7.4 à 8.5 sont corrigées sur tous les clusters (« All php release from 7.4 to 8.5 have been patch on all clusters »), après des règles WAF (pare-feu applicatif) déjà posées ; poursuit le travail sur les versions précédentes. Aucun numéro de version n’est cité, et la page de maintenance (du 21/10 à 08:00 UTC au 22/10 à 11:18 UTC) restait ouverte. Ne couvre ni les VPS ni le Public Cloud. | Notre relevé ne consigne aucune consigne d’OVHcloud aux clients, mais la maintenance restait ouverte et OVHcloud poursuit son travail sur les versions précédentes : ne présumez pas qu’il n’y a rien à faire. Contrôlez la version de PHP de votre site et interrogez le support si elle est plus basse. VPS ou Public Cloud : la mise à jour vous incombe. | web-cloud.status-ovhcloud.com |
| IONOS | Affirme que ses sites et hébergements sont protégés : IONOS a déjà déployé les mises à jour officielles de PHP sur toutes les plateformes qu’il exploite lui-même (incident résolu le 22/10 à 10 h 10 UTC) et indique que les clients n’ont aucune action à mener. Aucun numéro de version n’est cité. Quiconque exécute PHP lui-même (VPS, serveur dédié) doit installer la mise à jour immédiatement. | Mutualisé : IONOS ne demande aucune action ; contrôlez tout de même la version. VPS ou serveur dédié (Bare Metal) en gestion autonome : l’installation est à votre charge. | ionos-status.com |
| Infomaniak | Indique que les correctifs de sécurité ont été déployés sur l’ensemble de son infrastructure d’hébergement web mutualisé et de serveurs Cloud, pour PHP 8.5, 8.4, 8.3, 8.2, 8.1, 8.0 et 7.4 (message du 22/10 à 07 h 42, heure locale de la page). Les numéros de version PHP restent inchangés, mais les correctifs sont appliqués sur tous les services concernés. Option session.upload_progress.enabled désactivée à titre provisoire ; téléversement de fichiers limité temporairement sur d’autres services. | Les versions antérieures à PHP 7.4 doivent être mises à niveau. Le numéro ne changeant pas, vérifiez auprès d’Infomaniak plutôt que d’après le seul numéro. | infomaniakstatus.com |
| Hostinger | Affirme que ses propres tests montrent que sa plateforme n’est pas vulnérable (déclaration non vérifiée par nous) et qu’elle a ajouté une protection ; indique que les mises à niveau de PHP sont terminées sur tous ses serveurs d’hébergement géré (22/10 à 06 h 44 UTC). Certains sites affichent PHP 8.5.11 au lieu de 8.5.12 : Hostinger dit que c’est normal, le correctif ayant été ajouté à la version déjà utilisée, et qu’une date de build (Build Date) du 21 octobre 2026 ou plus tard dans PHP Info signifie que le correctif est appliqué. | Aucune action requise pour les offres Web Hosting, Agency Hosting et cPanel Hosting, selon Hostinger ; sur un VPS, vous gérez PHP vous-même. Pour contrôler, relevez la date de build dans PHP Info. | statuspage.hostinger.com |
| o2switch | Aucune déclaration officielle trouvée (relevé du 22/10/2026) sur son site ni son blog ; sa page d’état, status.o2switch.fr, n’était pas joignable. | Contrôlez votre version, puis interrogez le support. | blog.o2switch.fr |
| Gandi | Aucune déclaration officielle trouvée (relevé du 22/10/2026) sur status.gandi.net. | Contrôlez votre version, puis interrogez le support. | status.gandi.net |
Trois précisions pour bien lire ce tableau :
- « Aucune déclaration trouvée » ne veut pas dire « vulnérable », ni « protégé ». Cela signifie seulement que nous n’avons rien trouvé sur les pages indiquées au moment du relevé. Pour o2switch, sa page d’état n’était pas joignable lors du relevé.
- « Corrigé » ou « déploiement en cours » ne remplace pas la vérification de votre version. Les annonces de l’hébergeur citent rarement des numéros de version. Tant que la version de votre site n’est pas au niveau (ou que l’hébergeur ne confirme pas un correctif rétroporté), considérez le site comme exposé.
- Un numéro « ancien » peut être correct quand le correctif est rétroporté (cas des paquets Debian, Ubuntu, Red Hat). Comparez alors avec la version de paquet publiée par l’éditeur de la distribution, pas avec le numéro amont : le vérificateur propose un onglet pour les paquets Linux.
Votre hébergeur n’est pas dans ce tableau ? Nous ne publions que ce que nous avons vérifié sur ses pages officielles. Consultez sa page d’état ou son blog, puis posez la question à son support.
Que faire selon ce que vous voyez
- Relevez la version de PHP de votre site. Sur WordPress : Outils > Santé du site > Info > Serveur (« Tools > Site Health > Info > Server » en anglais, documentation WordPress). Sinon, regardez dans l’espace client ou le panneau de votre hébergeur. Marche à suivre complète : vérifier sa version de PHP.
- Version égale ou supérieure, dans la même branche, à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 : ce numéro correspond au niveau de la version corrigée officielle de cette branche. Redémarrez PHP pour que le correctif soit chargé, et vérifiez la version servie par le web (celle du CLI peut différer).
- Même branche, mais numéro inférieur (par exemple 8.3.30) : s’il s’agit du numéro de php.net, la version est concernée. Regardez si l’hébergeur a annoncé la mise à jour ; sinon, demandez-la. Exception : un paquet de distribution ou de panneau peut porter le correctif sous un numéro plus bas (voir le point 4 et la section sur les panneaux).
- 8.1, 8.0, 7.4 ou plus ancien : php.net n’a publié aucune version corrigée de ces branches, mais certains éditeurs et panneaux fournissent un build rétroporté qui garde le numéro d’origine (par exemple Ubuntu 22.04
8.1.2-1ubuntu2.28, RHEL 8 php:7.47.4.33-8.module+el8.10.0+25117+30337cca, cPanel ea-php818.1.34-5). Comparez donc avec le paquet de votre éditeur. Sans build rétroporté confirmé, passez à une branche supportée, ou demandez à l’hébergeur s’il en fournit un. Attention, la branche 8.2 ne reçoit les correctifs de sécurité que jusqu’au 31 décembre 2026 (versions supportées) : visez plutôt 8.3 ou plus. - Changez de branche avec prudence. Passer par exemple de 7.4 à 8.3 peut casser d’anciennes extensions ou un thème. Faites d’abord une sauvegarde complète. Côté WordPress, vérifiez que votre version de WordPress prend en charge la branche visée (table de compatibilité). Voir aussi WordPress et php2shell.
Changer de version de PHP dans les panneaux courants
En hébergement mutualisé, le panneau ne vous laisse en général choisir que la branche (8.3, 8.4…). La version précise (8.3.36, par exemple) est installée par l’hébergeur : changer de branche ne remplace donc pas le correctif, et la liste proposée ne garantit pas que chaque entrée soit déjà corrigée. WordPress.org le résume ainsi : PHP est installé sur le serveur ; on le met à jour via les réglages de l’hébergeur ou en le lui demandant (WordPress.org).
- Espace client ou panneau maison de l’hébergeur (cas d’OVHcloud, o2switch, Infomaniak, IONOS, Hostinger, Gandi). Nous n’avons pas vérifié l’écran de chacun et ne décrirons pas de chemin de menu que nous n’avons pas vu. Cherchez, dans la configuration de l’hébergement ou du domaine, un réglage nommé « PHP » ou « version de PHP », ou consultez l’aide de votre hébergeur. Introuvable : demandez au support.
- cPanel : le MultiPHP Manager liste la version de PHP de chaque domaine et permet de la changer (documentation cPanel). Le correctif lui-même passe par la mise à jour d’EasyApache 4 que l’hébergeur doit installer (version 25.91 du 21 octobre 2026, notes cPanel). Demandez à l’hébergeur quelle version de paquet est installée. Sous CloudLinux, les paquets ea-php de CloudLinux portent le correctif sous des numéros plus bas : ne jugez pas un serveur non corrigé sur ces seuls numéros.
- Plesk : Tools & Settings > PHP Settings affiche la version de PHP de chaque gestionnaire (libellés anglais). Plesk indique que des PHP corrigés sont disponibles : 8.2.35, 8.3.36, 8.4.27 et 8.5.12 sous Linux et sous Windows. Sous Linux, 7.4.33, 8.0.30 et 8.1.34 gardent leur numéro de version et les builds du 21 octobre 2026 incluent les correctifs (vérifiez la date de build, pas le numéro) ; Plesk demande de mettre Plesk à jour vers la dernière version (avis Plesk).
- Votre propre serveur (VPS, dédié) : c’est à vous de mettre à jour. Voir php2shell, les trois étapes.
Après un changement de version, rechargez la page d’accueil, connectez-vous à l’administration et testez les formulaires et le paiement. Si quelque chose ne fonctionne plus, revenez à la branche précédente uniquement le temps de réparer l’extension fautive : cette branche reste exposée tant qu’elle n’est pas corrigée.
Message à envoyer au support
Bonjour, ma version de PHP est X.Y.Z (site : exemple.fr). Les failles CVE-2026-109618 et CVE-2026-109619 sont corrigées dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Mon offre est-elle déjà corrigée, ou à quelle date le sera-t-elle ? Si ma branche n’a pas de version corrigée, quelle solution proposez-vous ? Merci de répondre par écrit.
Conservez la réponse : elle fera foi en cas de litige.
Sources officielles
- CERT-FR : CERTFR-2026-ALE-014. Le Centre canadien pour la cybersécurité a publié l’alerte AL26-026 (en anglais) le 21 octobre. Pour la Belgique et la Suisse, nous n’avons pas vérifié de bulletin national ; l’alerte du CERT-FR est en français, et les versions de PHP concernées sont celles de l’avis du PHP Group.
- PHP Group : avis de sécurité et journal des modifications.
- NVD : CVE-2026-109618, CVE-2026-109619.
Besoin d’aide sur votre configuration ?
Si vous ne savez pas quoi demander à votre hébergeur ou comment corriger votre serveur, nous proposons un plan de correction personnel à 49 $ US : des étapes écrites pour votre configuration exacte, envoyées par e-mail sous 24 heures, à demander à contact@php2shellcheck.com. Nous ne nous connectons jamais à votre serveur ; c’est à vous d’appliquer les étapes, uniquement sur un site qui vous appartient ou dont vous êtes responsable.