Faille php2shell : PHP 7.4, 8.0 et 8.1 corrigés pour Windows

Le 21 octobre 2026, le projet PHP a publié en urgence le correctif de deux failles critiques, CVE-2026-109618 et CVE-2026-109619, surnommées « php2shell ». Elles permettent d'exécuter du code à distance, sans authentification, sur toute installation PHP qui sert des pages web. Les versions corrigées existent pour PHP 8.2 à 8.5. Pour PHP 7.4, 8.0 et 8.1, en fin de vie, le projet n'a publié que le correctif en code source : aucune version prête à installer, et rien pour Windows. Nous les avons compilées pour nos propres postes, et nous les mettons gratuitement à disposition de tous.

Ce que disent les failles, en bref

• Gravité : 9,2 sur 10 (CVSS v4.0), exploitation à distance, sans compte ni mot de passe.
• Qui est concerné : toutes les installations qui servent des requêtes web (PHP-FPM, module Apache, php-cgi, FrankenPHP, LiteSpeed). Le module Apache (« mod_php ») est le plus exposé.
• Versions corrigées officielles : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
• Versions 8.1 et antérieures : plus de version officielle. Seuls les hébergeurs et les éditeurs Linux qui recompilent PHP eux-mêmes peuvent livrer le correctif. Pour PHP 7.3 et antérieures, aucun correctif n'existe.

Ce que nous avons fait pour nos clients

Dès la publication, nous avons vérifié les serveurs que nous gérons et les hébergements de nos clients :

• Serveur dédié que nous administrons : mis à jour le 22 octobre au matin, avec redémarrage de tous les services PHP. Nous avons constaté au passage que des paquets Linux datés du 21 octobre pour PHP 7.4, 8.0 et 8.1 ne contenaient pas encore le correctif : leur date ne prouvait rien, seul leur journal de modifications faisait foi.
• Hébergements mutualisés OVHcloud : OVHcloud a recompilé PHP 7.4 à 8.5 sur ses clusters le 21 octobre. Nous l'avons vérifié directement sur les sites : le numéro reste le même (par exemple 7.4.33), seule la date de compilation change.
• Sites encore en PHP 7.2 ou 7.3 : ils ne peuvent pas être corrigés. Nous contactons les clients concernés pour planifier le passage vers une version maintenue, après recette de leurs modules.

PHP 7.4, 8.0 et 8.1 corrigés pour Windows, en libre téléchargement

Comme beaucoup d'agences, nous développons sous Windows avec WampServer, et nous gardons plusieurs versions de PHP pour reproduire celles de nos clients (anciennes boutiques PrestaShop 1.7, sites WordPress historiques). Personne n'ayant publié de version Windows corrigée pour ces branches, nous les avons compilées à partir des sources officielles :

• PHP 7.4.33, 8.0.30 et 8.1.34, Windows x64, Thread Safe ;
• uniquement les sources de PHP et le correctif officiel de l'équipe de sécurité de PHP, sans aucun autre changement ;
• même compilateur et même API d'extensions que les versions officielles : Xdebug et les extensions habituelles continuent de fonctionner ;
• reconnaissables à leur numéro, par exemple 7.4.33-CVE-2026-10-22-ACRONET, pour savoir d'un coup d'œil si un poste est corrigé.

Installation avec WampServer

Arrêtez WampServer, renommez le dossier bin\php\php7.4.33 pour le garder en sauvegarde, décompressez l'archive dans un nouveau dossier bin\php\php7.4.33, puis recopiez depuis la sauvegarde php.ini, phpForApache.ini, wampserver.conf et le dossier zend_ext s'il existe (Xdebug). Au redémarrage, phpinfo() affiche 7.4.33-CVE-2026-10-22-ACRONET. Gardez un nom de dossier purement numérique : WampServer y lit la version.

À lire avant de les installer

• Ce ne sont pas des versions officielles de PHP. Elles ne sont ni publiées ni approuvées par le projet PHP.
• Elles sont destinées au développement local (WampServer, XAMPP, Laragon) et sont fournies sans garantie.
• PHP 7.4, 8.0 et 8.1 restent en fin de vie. Ces versions corrigent ces deux failles, et seulement elles. La vraie solution reste de passer en PHP 8.2 ou plus récent.

Votre site est-il concerné ?

Si votre site tourne en PHP 8.1 ou antérieur, chez un hébergeur qui ne recompile pas PHP lui-même, ou sur un serveur que personne n'a mis à jour depuis le 21 octobre, il est probablement exposé. Une montée de version se prépare : modules, thème, paiement et transporteurs doivent être testés avant la bascule. Contactez-nous pour un diagnostic : nous vérifions votre hébergement et vous proposons un plan de mise à jour sans interruption.

Questions fréquentes

Mon numéro de version PHP n'a pas changé, suis-je corrigé ?

Pas forcément. Les hébergeurs qui corrigent eux-mêmes PHP 7.4 à 8.1 gardent le même numéro (7.4.33 par exemple) : seule la date de compilation, visible dans phpinfo() à la ligne « Build Date », prouve que le correctif est en place. Une date antérieure au 21 octobre 2026 signifie que PHP n'est pas corrigé.

Ces versions Windows peuvent-elles servir en production ?

Nous ne le recommandons pas. Elles sont faites pour le développement local. Un site en production doit passer sur une version maintenue, PHP 8.2 ou plus récent, ou au minimum sur un PHP recompilé par son hébergeur.

Que faire si mon site tourne encore en PHP 7.2 ou 7.3 ?

Aucun correctif n'existe pour ces versions. Il faut passer au moins en PHP 7.4 corrigé, idéalement en 8.2 ou plus, après avoir vérifié la compatibilité du thème et des modules. C'est une opération que nous préparons et testons avant la bascule, pour éviter toute interruption.

Sources : avis de sécurité de php.net du 21 octobre 2026, GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp, incident OVHcloud. Photo : Markus Spiske sur Unsplash.