# PHP security vulnerabilities tool checking online

Vérificateur PHP2Shell gratuit : saisissez l'URL de n'importe quel site et voyez s'il utilise une version de PHP vulnérable à CVE-2026-109618 / CVE-2026-109619 — les failles à l'origine de l'alerte d'urgence du Japon.

# PHP security vulnerabilities tool checking online

Le 21 octobre 2026, deux failles critiques dans PHP lui-même — CVE-2026-109618 et CVE-2026-109619, toutes deux notées CVSS 9.2 — ont mis hors ligne des sites gouvernementaux dans toute l’Europe et au Japon. La Première ministre japonaise Sanae Takaichi a publié un avertissement urgent sur X : vérifiez si vos sites utilisent PHP, faites appliquer le correctif dès ce soir, ou mettez le site hors ligne en attendant. Ce vérificateur gratuit lit la version de PHP que votre site expose et vous indique où vous en êtes.

## Vérifiez votre site maintenant

Vérifier mon site

Vérification en lecture seule : nous lisons les en-têtes de réponse publics de votre site et recherchons une page phpinfo exposée, puis nous comparons toute version de PHP trouvée aux versions corrigées. Nous n’envoyons jamais de requête d’exploitation, et nous ne conservons rien. Ne vérifiez que les sites web que vous possédez ou que vous avez l’autorisation de tester.

Deep Website Check · 4,99 $ · ouvert à tous

## Vous voulez le tableau complet, pas seulement la version PHP ?

Ce contrôle gratuit lit uniquement la version PHP de votre site et ses empreintes publiques. Deep Website Check est l’analyse complète : un rapport exhaustif sur votre site web — rapport en ligne et PDF — couvrant son empreinte PHP et plateforme, sa chaîne de certificats TLS complète, ce qu’un vrai navigateur voit sur la page d’accueil, et ses en-têtes de sécurité, relu par un humain avant livraison. 4,99 $ par analyse, ouvert à tous (jusqu’à 10 par mois et par e-mail).

[Obtenir un Deep Website Check — 4,99 $](https://aiservicesmarket.lol/fr/deep-check/)

## Ce qui s’est passé

L’équipe de sécurité de PHP a annoncé deux vulnérabilités critiques les 20 et 21 octobre 2026, après la fuite de détails avant la divulgation prévue. Les deux failles se situent dans le traitement des requêtes de l’interpréteur PHP, de sorte qu’un attaquant peut exécuter du code sur un serveur vulnérable avant même que le moindre code d’application ne s’exécute — sans identifiant, sans mot de passe, et cela fonctionne même contre une simple page de test. Le duo a rapidement été surnommé PHP2Shell. Les versions corrigées ont été publiées le 21 octobre ; Cloudflare a signalé de premières tentatives d’attaque le même jour, et les gouvernements néerlandais et finlandais, ainsi que Niconico, Pixiv et DMM au Japon, parmi beaucoup d’autres, ont mis leurs services hors ligne ou en maintenance d’urgence plutôt que d’attendre. PHP fait fonctionner environ les trois quarts des sites web dont le langage côté serveur peut être identifié — y compris tous les sites WordPress, Drupal, Joomla et Magento.

Sources : [analyse de Datadog Security Labs](https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/), [avis d’Ubuntu sur php2shell](https://ubuntu.com/blog/php2shell-vulnerability-fixes-available), [FAQ de Tenable](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote), et [Reuters sur l’avertissement de la Première ministre](https://www.reuters.com/jp/economy/5S4LC2ZTKBPSRB6S65XU54IV5Y-2026-10-21/).

## Versions corrigées

Le correctif est la seule vraie solution — les astuces de configuration qui circulent en ligne (comme la désactivation de la progression d’envoi de session) ne vous protègent pas, d’après la reproduction réalisée par Datadog.

Votre branche PHPVersion corrigée (21 oct. 2026)Statut si vous êtes en dessous
8.5.x8.5.12Vulnérable
8.4.x8.4.27Vulnérable
8.3.x8.3.36Vulnérable
8.2.x8.2.35Vulnérable
8.1.x et versions antérieures (y compris 7.x, 5.x)—Vulnérable et en fin de vie : aucun correctif officiel ne viendra. Passez à une version corrigée 8.2 ou supérieure (certaines distributions Linux rétroportent les correctifs dans leurs propres paquets — vérifiez la version de votre paquet).

## Que faire maintenant

- Trouvez votre version de PHP. Lancez le vérificateur ci-dessus, exécutez php -v sur le serveur, consultez votre panneau d’hébergement ou demandez à votre hébergeur.

- Appliquez le correctif dès aujourd’hui si vous êtes en dessous de la version corrigée. Sur un hébergement mutualisé, seul l’hébergeur peut le faire — contactez-le dès maintenant et demandez vers quelle version il vous fera passer.

- Vous ne pouvez pas corriger rapidement ? Mettez-vous temporairement hors ligne. C’est le conseil explicite donné le 21 octobre par la Première ministre du Japon et par plusieurs agences nationales de cybersécurité : une courte interruption planifiée vaut mieux qu’un serveur exposé.

- Supprimez toute page phpinfo publique (phpinfo.php, info.php). Elle affiche l’intégralité de la configuration de votre serveur à quiconque la demande.

- Vérifiez. Après la mise à jour, confirmez avec php -v et relancez cette vérification.

## Ce que cette vérification peut — et ne peut pas — vous dire

Cette vérification est une empreinte à distance, et elle est honnête quant à ses limites. Si votre serveur annonce sa version de PHP (beaucoup le font, dans l’en-tête X-Powered-By) ou expose une page phpinfo, le verdict est exact. Si la version est masquée, la vérification le dit au lieu de deviner — une version masquée n’est pas une preuve de sécurité, et le seul test certain se fait sur le serveur lui-même. Si votre version comporte un suffixe de paquet de distribution Linux, la vérification soulève la question du rétroportage au lieu de vous déclarer vulnérable. Un CDN placé devant votre site peut aussi masquer les signaux ; dans ce cas, vérifiez le serveur d’origine.

## Des questions, des réponses directes

### Qu’est-ce que PHP2Shell ?
PHP2Shell est le surnom donné à deux vulnérabilités critiques dans PHP lui-même — CVE-2026-109618 et CVE-2026-109619 — divulguées le 21 octobre 2026. Toutes deux obtiennent un score CVSS 9.2 et permettent à un attaquant d’exécuter du code sur un serveur web sans se connecter. Comme les failles se situent dans l’interpréteur PHP, tout site utilisant une version de PHP affectée est exposé, quelle que soit sa technologie — WordPress, Drupal, Joomla, Magento ou une page de test d’une ligne. Les identifiants et mots de passe des applications ne bloquent pas l’attaque ; seule la mise à jour de PHP la corrige.

### Quelles versions de PHP sont vulnérables, et lesquelles sont corrigées ?
Versions officielles corrigées (21 octobre 2026) : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Toute version antérieure sur ces branches est vulnérable. PHP 8.1 et toutes les versions plus anciennes (jusqu’à 5.x) sont également concernés, mais en fin de vie — PHP ne corrigera pas ces branches, la solution consiste donc à passer à une version prise en charge et corrigée. Certaines distributions Linux rétroportent le correctif dans leurs propres paquets sans modifier le numéro de version officiel ; si vous utilisez des paquets PHP de distribution, comparez la version complète de votre paquet à l’avis de votre distribution.

### Mon site est sous WordPress. La mise à jour de WordPress corrige-t-elle le problème ?
Non. Les mises à jour de WordPress corrigent WordPress ; cette faille se trouve dans PHP, le langage sur lequel WordPress fonctionne. Votre version de PHP est définie par votre serveur ou votre formule d’hébergement, et elle ne change que lorsque l’hébergeur met PHP à jour (ou lorsque vous changez la version de PHP dans votre panneau d’hébergement, quand cette option existe). Demandez à votre hébergeur quelle version de PHP votre site utilise et si elle atteint ou dépasse la version corrigée.

### Le vérificateur indique que ma version de PHP est masquée. Suis-je en sécurité ?
Pas nécessairement. Masquer la version est une bonne pratique, mais cela signifie seulement qu’une vérification à distance ne peut pas la voir — de l’extérieur, un serveur sûr et un serveur vulnérable se ressemblent en tous points. Le verdict honnête dans ce cas est « impossible à confirmer à distance ». Vérifiez sur le serveur lui-même : exécutez php -v, regardez dans votre panneau d’hébergement ou demandez à votre hébergeur, puis comparez avec les versions corrigées ci-dessus.

### Ce vérificateur essaie-t-il de pirater mon site ?
Non. Il envoie des requêtes ordinaires en lecture seule : il lit les en-têtes de réponse que votre serveur affiche déjà à chaque visiteur, et il vérifie si une page phpinfo — une page de diagnostic qui ne devrait jamais être publique — est accessible, car cette page affiche la version exacte (et bien d’autres choses que vous ne voulez pas rendre publiques). Il n’envoie jamais la requête d’exploitation, ne transmet jamais de charge d’attaque, et ne conserve rien au sujet de votre site.

### Le vérificateur dit « vulnérable », mais mon hébergeur affirme que nous sommes corrigés. Qui a raison ?
Peut-être votre hébergeur. Debian et Ubuntu rétroportent les correctifs de sécurité dans leurs paquets PHP tout en conservant le numéro de version officiel d’origine, de sorte qu’un serveur annonçant « PHP 8.3.6 » peut déjà contenir le correctif si la version de son paquet est suffisamment récente (Ubuntu a publié des paquets corrigés le 21 octobre 2026). Ce vérificateur signale explicitement ce cas au lieu de crier au loup. Le test décisif est la version complète du paquet — demandez-la à votre hébergeur, ou vérifiez le gestionnaire de paquets sur le serveur.

### Que dois-je faire dès maintenant ?
1) Trouvez votre version de PHP (ce vérificateur, php -v ou votre hébergeur). 2) Si elle est inférieure à la version corrigée de votre branche, mettez PHP à jour — ou faites-le faire par votre hébergeur — dès aujourd’hui. 3) Si vous ne pouvez pas corriger rapidement, suivez le conseil donné le 21 octobre par la Première ministre du Japon et plusieurs agences nationales de cybersécurité : mettez temporairement le site hors ligne, ou restreignez-en l’accès, jusqu’à ce qu’il soit corrigé. 4) Supprimez toute page phpinfo publique. 5) Après le correctif, confirmez avec php -v et relancez cette vérification.

## Vous voulez que votre assistant IA s’occupe de tout le travail ?

Le skill PHP2Shell Vulnerability Check effectue cette même vérification via votre assistant IA, traite avec vous les cas de version masquée et de rétroportage par les distributions, rédige le rapport d’une page destiné au propriétaire, puis vous accompagne dans le correctif et la nouvelle vérification jusqu’à ce que votre site soit confirmé comme corrigé.

[Obtenir le skill — $4.99](https://aiservicesmarket.lol/fr/skills/php2shell-vulnerability-check/)