Mettre à jour WordPress, ses extensions et son thème est devenu un réflexe. Avec PHP2Shell, ce réflexe ne suffit plus : le problème se situe plus bas, dans l'interpréteur PHP lui-même. Tant que le moteur n'est pas remplacé par une version corrigée, aucun correctif applicatif ne ferme la porte.
PHP2Shell est le surnom donné à deux vulnérabilités de gestion mémoire dans le traitement des requêtes par PHP :
Dans les deux cas, aucune authentification n'est requise. Un visiteur anonyme qui envoie des requêtes bien choisies peut viser le serveur lui-même, sans passer par un compte WordPress ni par une extension vulnérable.
Les correctifs d'urgence ont été publiés le 21 octobre 2026 :
Deux jours plus tard, le 23 octobre, l'équipe PHP a signalé une troisième faille, CVE-2026-115560, elle aussi exploitable pour de l'exécution de code à distance. D'après les données Censys relayées par l'article source, environ 29 millions de serveurs n'étaient toujours pas corrigés deux semaines après la publication des correctifs. Le décalage entre la sortie d'un patch et son déploiement reste le vrai terrain de jeu des attaquants.
WordPress est une application qui s'exécute au-dessus de PHP. Ses mises à jour corrigent son propre code, celui des extensions et des thèmes. Elles ne touchent jamais au binaire PHP installé sur la machine, ni à PHP-FPM, ni aux images Docker de base. Une faille de type use-after-free ou de fuite sur épuisement mémoire vit dans le runtime : l'application la subit sans pouvoir s'en défendre.
Cela vaut pour toute application PHP, pas seulement WordPress. Symfony, Laravel, Drupal ou du code maison tournent sur le même moteur.
php -v, php-fpm -v).Si votre hébergeur gère PHP à votre place (mutualisé, hébergement WordPress managé), demandez-lui par écrit quelle version tourne et à quelle date elle a été mise à jour.
PHP2Shell rappelle qu'une chaîne de sécurité s'arrête à son maillon le moins surveillé. Le runtime en fait partie : il se patche, se versionne et se vérifie comme le reste. Pour le détail du contexte et des chiffres, consultez l'article d'origine : PHP2Shell: The Critical PHP Flaw That Lets Attackers Run Code on Your WordPress Server — and Updating WordPress Won't Fix It.
Si votre site ou votre boutique en ligne repose sur WordPress, les mises à jour habituelles ne protègent pas contre cette faille : elle concerne le logiciel de base qui fait tourner votre site. Un pirate pourrait prendre le contrôle de votre serveur sans avoir besoin d'aucun mot de passe. Demandez dès maintenant à votre prestataire ou à votre hébergeur quelle version de ce logiciel est installée et si elle a été mise à jour depuis le 21 octobre 2026. Exigez une réponse datée, car c'est la seule façon de savoir si vous êtes protégé.
Et votre site, il vaut quoi ?
Vitesse, accessibilité, référencement technique. Le rapport est écrit pour un dirigeant, pas pour un développeur. Gratuit, sans inscription.