PHP2Shell est déjà exploité : une checklist de 30 minutes pour vérifier que votre site WordPress est corrigé

⏱ 8 min read

« Aucun modèle n’est tout simplement capable de dénicher “tous les bugs” avec de simples consignes. » Cette phrase vient de Calif, la société de sécurité qui a trouvé les deux failles web que tout le monde a passé la semaine dernière à corriger, et elle rappelle une chose utile : l’IA a aidé à transformer une vieille découverte en attaque fonctionnelle, mais la solution repose toujours sur des personnes ordinaires qui font de la maintenance ordinaire. Si le site de votre entreprise tourne sous WordPress, cette semaine, cette personne ordinaire, c’est vous.

Voici une checklist calme, étape par étape, pour un entrepreneur solo qui n’est pas développeur. Prévoyez environ 30 minutes et faites-vous aider par un assistant IA pour les parties qui semblent techniques.

Ce qu’est PHP2Shell, en termes simples

PHP est le langage de programmation sur lequel repose WordPress, ainsi qu’une immense partie du web. Selon l’enquête de TechCrunch sur ces failles, environ 70 % de l’internet exposé au web en dépend. Le 21 octobre 2026, la PHP Foundation a divulgué deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619 (un CVE est simplement un numéro d’identification public pour une faille de sécurité connue), et publié les correctifs le jour même (les notes officielles sont dans les archives d’actualités de PHP). L’agence américaine de cybersécurité, la CISA, a publié une alerte en parallèle.

Pourquoi celle-ci compte : les failles permettent une exécution de code à distance sans mot de passe, autrement dit un inconnu sur internet pourrait lancer ses propres commandes sur votre serveur sans se connecter et sans que vous cliquiez sur quoi que ce soit. Amazon a repéré des attaques environ une semaine avant les correctifs, d’où la consigne de rechercher des traces depuis le 17 octobre.

Bonne nouvelle : WordPress lui-même n’a pas besoin d’une mise à jour d’extension particulière. Le correctif se situe une couche plus bas, dans le logiciel PHP qu’utilise votre hébergeur. Votre rôle est de confirmer que cette couche a été mise à jour, puis de vérifier que rien ne s’est glissé avant.

Étape 1 : Identifiez qui est responsable de votre PHP

Cette seule question détermine la part du travail qui vous revient.

• Hébergement WordPress infogéré (celui où vous ne voyez jamais de serveur, seulement un tableau de bord) : votre hébergeur met PHP à jour pour vous. Votre rôle est de confirmer qu’il l’a fait.
• Hébergement mutualisé avec panneau de contrôle comme cPanel : l’hébergeur corrige généralement PHP, mais vous choisissez peut-être la version dans un écran « Select PHP Version » ou « MultiPHP ».
• Votre propre serveur ou VPS (un serveur privé virtuel configuré par vous ou un freelance) : personne ne le corrige si personne ne lance les mises à jour. Traitez-le en urgence.

Vous ne savez pas lequel vous avez ? Regardez votre dernière facture d’hébergement. Si elle indique « managed WordPress », vous êtes dans le premier groupe.

Étape 2 : Lisez votre version de PHP sans toucher au code

Dans votre tableau de bord WordPress, allez dans Outils, puis Santé du site, puis l’onglet Infos, puis Serveur. Vous verrez une ligne « Version de PHP ». Notez ce numéro. Inutile de l’interpréter vous-même : vous le transmettrez à votre hébergeur à l’étape suivante.

Étape 3 : Posez une question directe à votre hébergeur (laissez l’IA rédiger l’e-mail)

La plupart des hébergeurs ont publié une note la semaine dernière, alors consultez d’abord leur page d’état ou leur blog. Si vous ne trouvez pas de réponse claire, envoyez un court message au support. Voici une consigne à coller dans ChatGPT, Claude ou Gemini :

« Rédige un ticket de support court et poli pour mon hébergeur. Mon site WordPress est [domaine]. Santé du site affiche la version de PHP [numéro]. Demande-leur de confirmer par écrit si mon serveur dispose des correctifs de la PHP Foundation publiés le 21 octobre 2026 pour CVE-2026-109618 et CVE-2026-109619, et s’ils ont constaté des signes d’exploitation sur mon compte depuis le 17 octobre. »

Demandez un oui ou un non par écrit. « Nous prenons la sécurité très au sérieux » n’est pas une réponse. Conservez leur réponse avec les documents de votre entreprise.

Si vous gérez votre propre serveur, la consigne change : demandez à l’IA de vous expliquer, pour votre configuration exacte (par exemple Ubuntu avec une version précise de PHP), comment installer les dernières mises à jour de sécurité de PHP et redémarrer le serveur web. Comparez ensuite ses instructions avec la documentation de votre fournisseur avant d’exécuter quoi que ce soit. Les assistants IA peuvent inventer des commandes, et ils le font, c’est pourquoi notre guide du débutant sur les hallucinations de l’IA recommande de vérifier tout ce sur quoi vous allez agir.

Étape 4 : Cherchez tout ce qui serait entré depuis le 17 octobre

Le correctif ferme la porte. Il ne vous dit pas si quelqu’un est entré avant. Consacrez dix minutes à ces vérifications :

1. Utilisateurs : ouvrez Utilisateurs, puis Tous les utilisateurs, et triez par rôle. Tout administrateur que vous ne reconnaissez pas est un signal d’alarme.
2. Extensions : cherchez des extensions que vous n’avez jamais installées, surtout aux noms vagues ou sans description.
3. Modifications récentes : si votre hébergeur propose un gestionnaire de fichiers, cherchez dans le dossier principal des fichiers modifiés depuis le 17 octobre que vous n’avez pas touchés.
4. Une analyse gratuite : une extension de sécurité comme Wordfence ou le scanner gratuit de Sucuri compare vos fichiers principaux à des copies saines et signale les différences.
5. Votre site en navigation privée : visitez votre page d’accueil et votre page de contact sans être connecté. Des redirections inattendues ou des fenêtres surgissantes étranges sont un signe classique de piratage.

Si quelque chose vous semble anormal, arrêtez-vous et contactez votre hébergeur avant de supprimer quoi que ce soit. Beaucoup d’hébergeurs restaurent gratuitement une sauvegarde saine antérieure au 17 octobre lors d’un tel événement.

Étape 5 : Utilisez l’IA pour lire les passages inquiétants, prudemment

Les résultats d’analyses de sécurité et les journaux du serveur sont écrits pour des ingénieurs. C’est là qu’un assistant aide vraiment. Collez le résumé d’une analyse dans votre chatbot et demandez : « Explique chaque avertissement en termes simples, classe-les par urgence et dis-moi lesquels je dois signaler à mon hébergeur. »

Deux règles garantissent la sécurité :

• Retirez les secrets avant de coller. Supprimez mots de passe, noms de bases de données, clés API et adresses e-mail de clients de tout ce que vous partagez.
• Considérez la réponse comme une traduction, pas comme un verdict. L’IA peut vous dire ce que signifie un avertissement. Seul votre hébergeur ou un professionnel de la sécurité peut confirmer que votre site est réellement compromis.

Étape 6 : Changez les clés, même si tout semble propre

Comme les attaques ont commencé avant que quiconque connaisse les failles, il vaut la peine de renouveler vos identifiants par précaution :

• Votre mot de passe administrateur WordPress, et celui de toute autre personne ayant un compte.
• Les mots de passe d’application (dans Utilisateurs, puis Profil), que les outils et automatisations utilisent pour publier sur votre site. Révoquez ceux que vous n’utilisez plus.
• Le mot de passe de votre compte d’hébergement et, le cas échéant, votre mot de passe FTP ou SFTP.
• Toutes les clés API enregistrées dans des extensions, comme le paiement, l’e-mail marketing ou les extensions de rédaction par IA.

Activez au passage la connexion en deux étapes sur votre compte d’hébergement. Cela prend cinq minutes et bloque l’attaque de suivi la plus courante.

Étape 7 : Faites en sorte que la prochaine fois soit ennuyeuse

PHP2Shell ne sera pas la dernière grande faille du web, et l’IA permet aux attaquants de transformer plus vite des failles connues en attaques fonctionnelles. Quelques habitudes transforment la prochaine urgence en non-événement :

• Des sauvegardes quotidiennes automatiques stockées ailleurs que sur votre serveur, avec au moins deux semaines d’historique.
• Des mises à jour mineures automatiques pour le cœur de WordPress et les extensions de confiance.
• Une ligne consacrée à la sécurité dans votre charte IA, précisant ce qui peut ou non être collé dans un chatbot. Nos astuces rapides pour une charte IA d’une page montrent comment la rédiger en un après-midi.
• Une consigne enregistrée qui transforme n’importe quel titre sur la sécurité en « qu’est-ce que cela signifie pour mon site, et que dois-je demander à mon hébergeur ? ».

Votre site est votre vitrine, et de plus en plus, c’est aussi ce que les assistants IA lisent quand des clients leur demandent une recommandation. Un site piraté peut disparaître discrètement de ces réponses. Une raison de plus de le garder en bonne santé, comme nous l’expliquions dans comment un entrepreneur solo se fait recommander par l’IA.

Votre récapitulatif en 30 minutes

Vérifiez votre version de PHP dans Santé du site. Obtenez un oui écrit de votre hébergeur sur les correctifs du 21 octobre. Cherchez de nouveaux administrateurs, des extensions inconnues et des redirections étranges depuis le 17 octobre. Changez vos mots de passe et mots de passe d’application. Activez les sauvegardes et la connexion en deux étapes. Terminé.

Votre hébergeur vous a-t-il déjà répondu ? Dites-nous en commentaire en combien de temps et ce qu’il a dit. Cela aidera d’autres entrepreneurs solo à reconnaître une bonne réponse.

À lire aussi

• Qu’est-ce qu’une hallucination de l’IA ? Le guide du débutant pour repérer les faits inventés
• Seulement 23 % des petites entreprises ont une charte IA. 9 astuces pour rédiger la vôtre
• 45 % des clients demandent désormais à l’IA de trouver un commerce local
• 5 règles avant de confier un compte à un agent IA