PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Quelle version de PHP votre site annonce-t-il ?
Le 21 octobre 2026, le projet PHP a corrigé 2 vulnérabilités critiques que la CISA appelle PHP2Shell (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2). Elles permettent d’exécuter du code sur un serveur sans authentification. Saisissez un domaine et nous vous montrons quelle version de PHP votre site annonce dans ses en-têtes et si elle correspond au correctif.
Comment lire le résultat
- Un ancien numéro ne prouve pas une vulnérabilité. De nombreux hébergeurs appliquent le correctif et conservent le numéro de version d’origine.
- Un numéro à jour est un bon signe, pas une preuve. L’en-tête peut être modifié par la configuration du serveur ou par un équipement placé devant lui.
- Si le site n’annonce pas de version, nous ne savons rien. C’est le cas de la plupart des sites : sur les 8 171 sites d’entreprises slovaques qui nous ont répondu le 31 octobre 2026, seuls 332 indiquaient une version de PHP dans l’en-tête (4,1 %).
Quelles versions contiennent le correctif
| Branche | Corrigé à partir de |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Le projet PHP ne maintient plus PHP 8.1 et les versions antérieures. Certaines distributions Linux et certains fournisseurs de support étendu ajoutent le correctif eux-mêmes, renseignez-vous auprès d’eux.
Que faire
- Mettez PHP à jour vers 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récent, ou vers le paquet corrigé de votre fournisseur.
- Demandez à la personne qui gère le service quelle version de PHP elle utilise et si elle contient les correctifs de CVE-2026-109618 et CVE-2026-109619.
- N’annoncez plus la version :
expose_php = Offdansphp.inisupprime l’en-tête X-Powered-By.