Faille critique PHP « PHP2Shell » : comment elionis a protégé ses clients

Le 21 octobre 2026, les mainteneurs de PHP ont publié en urgence des correctifs pour deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619, et surnommées « PHP2Shell ». Le CERT-FR (ANSSI) a émis une alerte le jour même. Voici ce qu’il faut savoir, et ce que nous avons fait pour nos clients.

Pourquoi cette faille est-elle si grave ?

PHP est l’un des langages les plus utilisés au monde pour faire fonctionner des sites et des applications web : sites vitrines, portails, outils de prise de rendez-vous, applications métier… Une très grande partie du web repose dessus.

• Exécution de code à distance : les deux failles peuvent permettre à un attaquant de prendre le contrôle d’un serveur web.
• Sans authentification : selon les chercheurs, une seule requête envoyée au serveur peut suffire, avant même que le site lui-même ne s’exécute.
• Une menace déjà active : une tentative d’exploitation a été observée dès le 17 octobre, avant même la publication des correctifs, et des preuves de concept circulent désormais.

Qui est concerné ?

Tout serveur qui fait tourner PHP pour répondre à des visiteurs, quelle que soit sa configuration. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les anciennes versions (8.1 et antérieures), qui ne sont plus maintenues, sont particulièrement exposées : elles doivent être migrées ou faire l’objet d’un correctif spécifique.

Ce qu’elionis a fait

Nous avons pris cette alerte très au sérieux, dès son annonce.

• Recensement immédiat des serveurs, sites et applications de nos clients utilisant PHP.
• Contact direct des clients concernés par nos équipes, pour les informer de la situation et des actions engagées.
• Sécurisation : application des correctifs et, lorsque c’était nécessaire, mise en place des mesures de protection provisoires recommandées par le CERT-FR.
• Suivi renforcé : surveillance accrue des serveurs concernés et veille continue sur l’évolution de la menace.

Cette réactivité fait partie de nos engagements d’hébergeur certifié ISO 27001 et HDS : une alerte de sécurité se traite en heures, pas en semaines.

Votre site est hébergé ailleurs ?

Si votre site Internet, votre portail patient ou une application web de votre établissement est hébergé par un autre prestataire, vérifiez auprès de lui que la mise à jour a bien été appliquée. En cas de doute, nos équipes peuvent vous aider à faire le point.

Une question sur cette faille ou sur la sécurité de vos serveurs ? Contactez-nous au 01 83 73 50 50 ou demandez un audit de sécurité.

Source : alerte CERT-FR CERTFR-2026-ALE-014.