# PHP2Shell : tout sur la faille PHP critique

> PHP2Shell expliqué simplement : CVE-2026-109618 et CVE-2026-109619, versions concernées, vérification, redémarrage et mesures transitoires.

Source : https://phpsos.de/fr/php2shell/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

Deux failles critiques dans PHP lui-même, CVSS 9.2, code malveillant sans authentification. Vous trouverez ici ce qui est établi, quelles versions sont sûres et ce que vous faites maintenant.

- [Qu'est-ce que PHP2Shell ? La faille expliquée simplement](https://phpsos.de/fr/php2shell/was-ist-php2shell/): PHP2Shell désigne deux failles critiques dans PHP lui-même, par lesquelles des attaquants peuvent exécuter du code sur des serveurs web sans authentification. La situation en termes clairs.
- [CVE-2026-109618 : RCE par état de mémoire insuffisante](https://phpsos.de/fr/php2shell/cve-2026-109618/): CVE-2026-109618 est l'une des deux failles PHP2Shell : un état de mémoire insuffisante peut interrompre PHP en plein traitement de la requête. Corrigée à partir de PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- [CVE-2026-109619 : RCE par état global périmé](https://phpsos.de/fr/php2shell/cve-2026-109619/): CVE-2026-109619 est la seconde faille PHP2Shell : l'état interne d'une requête peut subsister après la libération de la mémoire et être exploité par la requête suivante dans le même worker.
- [CVE-2026-115560 : avis sur Session Upload Progress](https://phpsos.de/fr/php2shell/cve-2026-115560/): CVE-2026-115560 est un avis de php.net du 23.10.2026 : exécution de code possible uniquement avec une configuration de session inhabituelle. Parade jusqu'à la prochaine version : session.upload_progress.enabled=0.
- [Quelles versions de PHP sont concernées ?](https://phpsos.de/fr/php2shell/betroffene-php-versionen/): PHP2Shell est corrigée dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour PHP 8.1 et antérieur, il n'existe plus de mises à jour officielles. Le tableau montre l'état par branche.
- [Bien vérifier la version de PHP et l'état des correctifs](https://phpsos.de/fr/php2shell/php-version-pruefen/): La version de PHP affichée ne dit pas à elle seule si PHP2Shell est refermée. L'état des paquets, les backports et le fait que les nouveaux processus tournent réellement sont déterminants.
- [Pourquoi mod_php porte le risque le plus élevé](https://phpsos.de/fr/php2shell/mod-php-risiko/): Avec Apache et mod_php, l'équipe PHP estime le risque lié à PHP2Shell le plus élevé : un exploit y a été démontré avant l'exécution du code de l'application. Comment vérifier et agir.
- [Après la mise à jour : redémarrer PHP-FPM et tous les workers](https://phpsos.de/fr/php2shell/php-fpm-neustart/): Une mise à jour de PHP n'agit que lorsque tous les processus PHP ont été redémarrés. Voici les commandes pour PHP-FPM, Apache, LiteSpeed et les conteneurs, et comment vérifier le redémarrage.
- [Mesures immédiates si vous ne pouvez pas encore appliquer le correctif](https://phpsos.de/fr/php2shell/sofortmassnahmen-ohne-patch/): Si la mise à jour de PHP n'est pas encore possible, les mesures transitoires de php.net réduisent le risque, mais ne protègent pas complètement. Comment les appliquer correctement.
- [PHP 8.1 et antérieur : ce qui s'applique maintenant](https://phpsos.de/fr/php2shell/php-8-1-und-aelter/): Pour PHP 8.1, 8.0, 7.4 et les versions antérieures, il n'existe aucune mise à jour officielle contre PHP2Shell. Ce que les backports du code source apportent et à quoi ressemble la voie vers une version prise en charge.
- [Corriger PHP dans les conteneurs Docker](https://phpsos.de/fr/php2shell/docker-container-patchen/): Les conteneurs ne se corrigent pas eux-mêmes. Contre PHP2Shell, vous devez reconstruire ou retirer à nouveau l'image PHP et recréer chaque conteneur à partir de la nouvelle image.
- [Suis-je déjà compromis ? Les signes après PHP2Shell](https://phpsos.de/fr/php2shell/bin-ich-gehackt-anzeichen/): Il n'existe pas d'indicateurs de compromission confirmés pour PHP2Shell. À quoi reconnaître malgré tout que votre serveur a été piraté, et comment vérifier sans détruire de traces.