- Accueil
- Test PHP2Shell
Votre site est-il touché par PHP2Shell ?
Deux failles critiques de PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9.2) permettent de prendre le contrôle d’un serveur sans mot de passe. Elles sont exploitées depuis le 21 octobre 2026. Saisissez l’adresse de votre site : nous lisons la version de PHP qu’il annonce et la comparons aux versions corrigées.
Contrôle passif : une seule visite de la page d’accueil, comme un navigateur. Aucune tentative d’exploitation.
PHP2Shell n’est qu’une faille parmi d’autres
Ce test regarde une seule chose : la version de PHP annoncée. Nos audits vont plus loin et vous disent quoi corriger, dans l’ordre.
Test d’intrusion non destructif
Identifie la technologie réelle même quand la version est masquée, puis teste les failles connues de votre site.
5 KreditsAnalyse de code
Repère les dépendances vulnérables de votre application PHP (Composer, WordPress, plugins), sans envoyer le code.
1 à 3 KreditsAudit de surface et SSL/TLS
Certificat, protocoles, en-têtes et informations publiques exposées, avec une note de A+ à F.
GratuitPHP2Shell en bref
PHP2Shell désigne deux failles du cœur de PHP révélées le 20 octobre 2026 : CVE-2026-109619 (utilisation de mémoire libérée dans le suivi de progression des envois) et CVE-2026-109618 (corruption de mémoire lors d’un manque de mémoire).
Elles permettent l’exécution de code à distance sans authentification, avec les droits du serveur web. WordPress, Drupal, Joomla, PrestaShop et tout site en PHP sont exposés si la version de PHP n’est pas corrigée.
Apache avec mod_php est le cas le plus à risque ; PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont aussi concernés.
Versions corrigées publiées le 21 octobre 2026 : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches 8.1, 8.0 et 7.4 n’ont que des correctifs à compiler ; les versions plus anciennes n’en auront pas.
Comment se protéger
- 1
Mettre PHP à jour
Passez à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou plus récent), puis redémarrez Apache ou PHP-FPM. Chez un hébergeur mutualisé, choisissez la dernière version dans le panneau (Plesk, cPanel…).
- 2
En attendant : couper le suivi des envois
Mesure d’atténuation partielle, qui ne remplace pas la mise à jour.
session.upload_progress.enabled = 0 - 3
Masquer la version
Une fois à jour, ne donnez plus la version aux robots qui cherchent les sites vulnérables.
expose_php = Off
Questions fréquentes
Le test est-il vraiment gratuit ?
Oui, sans compte et sans limite autre qu’un nombre raisonnable de vérifications par quart d’heure.
Le test peut-il casser mon site ?
Non. Nous faisons une seule visite de la page d’accueil et lisons les en-têtes, comme un navigateur. Rien n’est envoyé pour exploiter la faille.
Mon site masque sa version de PHP, suis-je protégé ?
Non, masquer la version ne corrige rien : les attaquants testent la faille à l’aveugle. Vérifiez la version dans votre panneau d’hébergement ou avec la commande php -v du serveur web.
Mon hébergeur s’en occupe-t-il ?
Les hébergeurs mutualisés mettent généralement PHP à jour, mais vous devez souvent choisir vous-même la nouvelle version. Sur un serveur dédié ou un VPS, c’est à vous de le faire.