Toutes les boutiques Magento que nous hébergeons et gérons ont été mises à jour contre PHP2Shell, les deux vulnérabilités critiques de PHP (CVE-2026-109618 et CVE-2026-109619) rendues publiques le 21 octobre 2026. Si votre boutique est sur nos serveurs, vous n’avez rien à faire.
Qu’est-ce que PHP2Shell ?
PHP2Shell désigne deux failles dans PHP lui-même, et non dans Magento ou une extension. Elles touchent tous les serveurs sous PHP 5.4 ou plus récent, avec Apache comme avec PHP-FPM, et permettent à un attaquant d’exécuter du code sur le serveur sans se connecter. Des chercheurs ont démontré une attaque fonctionnelle contre une installation propre de Magento 2.4.9, et les premières tentatives d’attaque ont été observées avant même la publication du correctif.
Comme PHP lit chaque requête avant l’exécution du code de la boutique, ni le mode maintenance de Magento, ni les extensions de sécurité, ni les filtres au niveau de la boutique ne peuvent l’arrêter. La vraie solution est de mettre à jour PHP sur le serveur.
Ce que nous avons fait
Dès la sortie des versions corrigées de PHP, nous avons mis à jour PHP sur tous les serveurs que nous gérons : toutes les boutiques sous une version de PHP prise en charge sont désormais entièrement corrigées.
Boutiques sous d’anciennes versions de PHP
PHP ne publie des correctifs de sécurité que pour la version 8.2 et les suivantes. Les boutiques qui tournent encore sur des versions antérieures, comme PHP 7.2, ne reçoivent pas de correctif officiel. Sur ces boutiques, nous avons mis en place une protection temporaire qui bloque les vecteurs d’attaque connus, mais il s’agit d’une mesure provisoire, pas d’une solution définitive.
La seule solution durable est de passer la boutique à une version de PHP prise en charge, ce qui, pour les boutiques plus anciennes, implique généralement de mettre aussi Magento à niveau. Si votre boutique est dans ce cas, contactez-nous pour planifier la mise à niveau.
Vous n’êtes pas hébergé chez nous ?
- Mettez à jour PHP sur chaque serveur dès maintenant, ou demandez à votre hébergeur de le faire aujourd’hui. Ce problème ne peut pas être corrigé depuis Magento.
- Sous PHP 8.1 ou antérieur, il n’existe pas de correctif officiel. Demandez à votre hébergeur un correctif rétroporté ou le passage à une version prise en charge.
- Vérifiez d’abord que personne n’est entré. Notre WhizzyScan gratuit analyse vos fichiers et votre base de données à la recherche de webshells et de portes dérobées :
curl https://shopwhizzy.com/gowiz/external/agent | sh
Tous les détails techniques se trouvent dans l’avis de Sansec sur PHP2Shell.