Mis à jour le 22 octobre 2026
La faille PHP2Shell soulève une question concrète : vos logiciels de télémaintenance, de gestion de parc, de visioconférence ou de CRM sont-ils concernés ? Ce guide rassemble les déclarations publiques des éditeurs, les versions PHP corrigées et les vérifications à effectuer sur vos serveurs.
Pour évaluer votre exposition à la faille PHP2Shell, distinguez les services administrés par l’éditeur des installations PHP que vous gérez. Les déclarations ci-dessous portent sur le périmètre annoncé par chaque éditeur au 22 octobre 2026.
Faille PHP2Shell : les points essentiels
- PHP2Shell désigne deux failles critiques du langage PHP : CVE-2026-109618 et CVE-2026-109619, notées 9,2/10.
- Elles permettent à un attaquant de prendre le contrôle d’un serveur à distance, sans identifiant.
- Les correctifs sont disponibles depuis le 21 octobre 2026 : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- NinjaOne, PDQ, ISL Online, ManageEngine et Zoho déclarent leurs produits non concernés.
- Le statut de plusieurs éditeurs n’est pas établi dans cet article : cela ne signifie ni qu’ils sont touchés, ni qu’ils sont épargnés.
- Vérifiez aussi vos propres installations : site web, intranet, extranet ou boîtier réseau qui utilisent PHP.
Qu’est-ce que la faille PHP2Shell ?
PHP est un langage de programmation utilisé par une grande partie des sites web, notamment ceux construits avec WordPress, Drupal ou Magento. PHP2Shell n’est pas une faille d’une application en particulier, mais du moteur PHP lui-même (SFEIR).
Selon l’équipe officielle de PHP, les deux failles sont liées à la gestion de la mémoire lorsqu’une requête est interrompue (dépassement de mémoire ou erreur fatale). Dans certaines conditions, un attaquant peut exécuter du code sur le serveur sans être authentifié (PHP Foundation).
Sont concernées toutes les installations PHP qui traitent des requêtes web, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed (CERT-EU).
Le calendrier
| Date | Événement |
|---|---|
| 20 octobre 2026 | Le projet PHP annonce deux failles critiques et un correctif pour le lendemain (CERT-EU) |
| 21 octobre 2026 | Publication des correctifs PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (PHP Foundation) |
| 21 octobre 2026 | Des sites, dont celui de la CNIL, sont fermés par précaution (Frandroid) |
| 21-22 octobre 2026 | Premières déclarations des éditeurs de logiciels |
Ce que recommandent les autorités
Le CERT-EU recommande de corriger immédiatement et, si ce n’est pas possible, d’envisager l’isolement des applications exposées à Internet jusqu’à l’application et la vérification du correctif. Aux États-Unis, la CISA demande également une correction immédiate.
Faille PHP2Shell : quels logiciels sont concernés ?
État au 22 octobre 2026, d’après les communications publiques des éditeurs. Les statuts ci-dessous sont datés : consultez aussi les avis de sécurité des éditeurs pour connaître les évolutions après cette date.
Éditeurs qui déclarent leurs produits non concernés
NinjaOne — L’équipe sécurité indique qu’il n’y a eu « aucun impact » sur les clients, leurs données ou les services, et que NinjaOne n’est « ni exposé ni à risque » (NinjaOne Trust Center). Aucun impact n’est signalé et aucune action client n’est annoncée dans cette communication.
ISL Online et PDQ — PDQ Connect, PDQ Deploy & Inventory, SmartDeploy, SimpleMDM et ISL Online n’utilisent pas PHP et fonctionnent normalement. Seuls le site public et les serveurs de licences d’ISL Online utilisent PHP : ils ont été protégés avant le correctif, puis mis à jour environ une heure après sa sortie. L’éditeur précise : « aucune action n’est nécessaire de votre côté » (PDQ Status).
ManageEngine — L’éditeur indique que ses produits, sur site comme dans le cloud, n’utilisent pas PHP et ne sont donc pas impactés (ManageEngine Japon ; ServiceDesk Plus). Pour les utilisateurs de Vulnerability Manager Plus, ManageEngine met à disposition les correctifs PHP pour Debian, Oracle, Rocky et Fedora (ManageEngine PitStop).
Zoho — Zoho Japan confirme officiellement que les produits Zoho n’utilisent pas PHP et ne sont pas affectés. Cette confirmation remplace le relais initial d’un partenaire (note officielle Zoho Japan ; réponse du support Zoho Japan).
Éditeurs qui ont communiqué sans statut définitif
DocuSign — DocuSign confirme avoir connaissance de la faille et indique qu’« une enquête active est en cours ». Aucun produit n’est déclaré touché ou épargné à ce stade (DocuSign Trust Center).
Microsoft — Microsoft a participé à la réponse coordonnée avec la PHP Foundation et a publié des règles de protection pour Azure Web Application Firewall (Microsoft Tech Community). Ces règles ne remplacent pas la mise à jour de PHP (Microsoft Tech Community).
Les notes Microsoft Defender du 22 octobre listent également une détection comportementale liée aux abus de PHP « session upload progress », sans nommer explicitement ces CVE (notes Microsoft Defender). Ces communications ne constituent pas un statut global de tous les produits Microsoft.
Action1 — L’éditeur a publié un article de conseil. Il rappelle que PHP peut se cacher dans des applications internes, des interfaces d’administration ou des appareils réseau, et que les produits en fin de support risquent de ne jamais recevoir de correctif (Action1).
Autres éditeurs : statut non établi dans cet article
Pour les éditeurs suivants, nous ne disposons pas dans cet article d’une position publique vérifiée au 22 octobre 2026 : Zoom, TeamViewer, Splashtop, AnyDesk, Atera, GoTo / LogMeIn, LastPass, Dropbox, Freshworks, RealVNC, TSplus, pCloud, Easygenerator, Heyzine, Snov.io et Dashworks.
Ces logiciels sont-ils affectés par la faille PHP2Shell ? Je ne sais pas : l’absence de position vérifiée dans cet article ne permet pas de conclure. Consultez aussi les avis de sécurité et pages de statut de chaque éditeur. Si vous avez un doute, contactez notre support : nous relayons la question directement à l’éditeur.
Récapitulatif des statuts face à la faille PHP2Shell
| Éditeur | Statut déclaré | Action client |
|---|---|---|
| NinjaOne | Non concerné (Trust Center) | Aucune action client annoncée |
| ISL Online | Produit non concerné, site web corrigé (source) | Aucune |
| PDQ | Non concerné (source) | Aucune |
| ManageEngine | Non concerné (source) | Corriger les systèmes PHP que vous administrez, le cas échéant |
| Zoho | Non concerné, confirmation officielle (Zoho Japan) | Aucune action spécifique annoncée pour les produits Zoho |
| DocuSign | Enquête en cours (source) | Suivre le Trust Center |
| Microsoft | Protections Azure publiées (source) | Mettre à jour les installations PHP que vous gérez sur Azure |
| Autres éditeurs | Statut non établi ici | Nous contacter en cas de doute |
Faille PHP2Shell : 6 actions pour protéger vos serveurs
Les logiciels SaaS que vous utilisez sont gérés par leurs éditeurs. Le point de vigilance principal concerne vos propres serveurs.
- Inventoriez vos usages de PHP : site vitrine, boutique en ligne, intranet, extranet, outils internes, interfaces d’administration de NAS ou d’équipements réseau (Action1).
- Vérifiez la version de PHP et passez à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou une version ultérieure corrigée de votre branche. Pour les paquets Linux/LTS, vérifiez l’avis du fournisseur : un correctif rétroporté peut conserver un numéro de version antérieur (CERT-EU).
- Contactez votre hébergeur ou votre prestataire web si vous ne gérez pas le serveur vous-même.
- Si la mise à jour est impossible immédiatement, isolez le service exposé d’Internet jusqu’à l’application et la vérification du correctif, selon les recommandations du CERT-EU. Une simple page de maintenance servie par l’application PHP ne garantit pas cette isolation.
- Pour les anciennes versions (PHP 8.1 et antérieures), le projet PHP ne fournit plus de mises à jour régulières. Certains fournisseurs Linux/LTS proposent des correctifs rétroportés ; des correctifs source minimaux existent aussi pour PHP 7.4, 8.0 et 8.1. Vérifiez la couverture de votre fournisseur et planifiez une migration vers une branche prise en charge (CERT-EU).
- Profitez-en pour automatiser vos mises à jour avec un outil de gestion de parc et de correctifs comme NinjaOne ou PDQ Connect, disponibles sur le Cloud Store. Vérifiez la couverture de votre environnement : un outil de gestion de parc ne remplace ni l’inventaire des composants PHP embarqués ni la validation du correctif par le fournisseur.
Questions fréquentes sur la faille PHP2Shell
Qu’est-ce que PHP2Shell ?
PHP2Shell est le nom donné à deux failles critiques du moteur PHP, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10. Elles permettent l’exécution de code à distance sans authentification (CSA Singapour).
Quelles versions de PHP corrigent la faille PHP2Shell ?
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre 2026, ainsi que les versions ultérieures corrigées. Les distributions peuvent aussi proposer des correctifs rétroportés à vérifier auprès du fournisseur (PHP Foundation).
Mon logiciel de télémaintenance est-il concerné ?
ISL Online et NinjaOne déclarent ne pas être concernés (PDQ Status ; NinjaOne). Le statut de TeamViewer, Splashtop, AnyDesk, RealVNC et TSplus n’est pas établi dans cet article au 22 octobre 2026.
Je n’utilise que des logiciels SaaS, dois-je agir ?
La correction des serveurs SaaS relève de l’éditeur. En revanche, si votre entreprise exploite un site web, un intranet ou un équipement utilisant PHP, la mise à jour vous incombe.
Comment savoir si mon site web utilise PHP ?
Rapprochez-vous de votre hébergeur ou de votre prestataire. Un site WordPress, Drupal ou Magento fonctionne avec PHP.
Besoin d’aide face à la faille PHP2Shell ?
Notre équipe support, basée en France, est à votre disposition pour vérifier le statut d’un logiciel acheté sur le Cloud Store et relayer vos questions auprès des éditeurs. Contactez l’équipe Cloud Store.
À lire aussi : Conformité NIS2 : quels logiciels cloud sont conformes à la directive ?
