Centre d'Assistance
Accueil Hébergement PHP

Vulnérabilité PHP « PHP Shell » - Informations importantes concernant votre contrat IONOS

Concerne : Toutes les applications et tous les services utilisant PHP

En octobre 2026, deux failles critiques (CVE-2026-109618 et CVE-2026-109619) ont été corrigées dans le noyau (Core Runtime) du langage de script PHP, largement utilisé.

La combinaison de ces deux failles, également connue sous le nom de PHP2Shell, permet l’exécution de code malveillant et la prise de contrôle du serveur web sans qu’aucune connexion ni interaction ne soit nécessaire. Cet article du Centre d’Assistance vous informe sur le contexte, les moyens dont vous disposez pour vérifier si votre système a été compromis et les mesures à prendre.

 

L'essentiel en bref

  • IONOS a déjà installé la mise à jour officielle de PHP sur son infrastructure informatique.
  • Pour la plupart des clients, aucune action n’est requise.
  • Vous devez immédiatement réagir si vous gérez vous-même PHP, par exemple sur un VPS ou un Serveur Dédié.

Attention au hameçonnage (Phishing)!

L’expérience montre que les événements qui bénéficient d’une couverture médiatique aussi importante, comme PHP2Shell, sont également exploités par des escrocs. Ceux-ci envoient de faux e-mails pour obtenir vos identifiants de connexion ou tentent par d’autres moyens de vous amener à divulguer des informations sensibles.

  • Vérifiez l’authenticité des e-mails prétendument envoyés par IONOS via le service de validation.
  • N’exécutez pas sur votre serveur de scripts provenant de sources non fiables.

Changer de version de PHP via votre compte IONOS

Si vous pouvez changer de version PHP via votre compte IONOS, vous ne courez aucun risque lié à PHP2Shell, car ces versions sont gérées et mises à jour par IONOS.

Vous trouverez la gestion de PHP dans votre compte client sous Hébergement > Vignette : PHP. Cliquez sur le domaine souhaité et sélectionnez l’une des versions proposées. La version actuellement recommandée est signalée en conséquence.

Versions PHP protégées par le Support Prolongé PHP IONOS

###COMPANY_NAME###a également appliqué les mises à jour de sécurité contre PHP2Shell aux anciennes versions de PHP fournies dans le cadre du Support Prolongé PHP. Si vous utilisez l'une de ces versions, vous êtes protégé contre PHP2Shell et n'avez pas besoin de prendre des mesures immédiates.

Les mises à jour de sécurité couvrent les versions PHP suivantes :

  • PHP 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0 et 8.1 (tous les packs d'hébergement)
  • PHP 4.0, 5.2, 5.4 et 5.5 (uniquement les packs d'hébergement commandés jusqu'au 14 septembre 2025 inclus)

Remarque

Les informations  ci-dessous s'adressent principalement aux clients IONOS, ou qui utilisent leur propre instance PHP, par exemple sur un Serveur Dédié, ou qui utilisent des intégrations installant elles-mêmes PHP.

pour l'utilisation d'un CMS comme WordPress, sont déjà sécurisés par les mises à jour internes d'IONOS (voir également la section «Changer de version PHP via votre compte IONOS» dans cet article).

Si vous exploitez votre propre instance PHP

IONOS a déjà mis à jour sa propre infrastructure PHP et mis en place des mesures de sécurité supplémentaires. Les installations PHP exploitées sous votre propre responsabilité en sont expressément exclues. Dans ce cas, vous devez immédiatement agir.

Remarque : Une faible audience ou notoriété ne vous protège pas en tant qu’exploitant de serveur. Les acteurs malveillants (hackers) ont automatisé la recherche de serveurs web vulnérables à PHP2Shell. De ce fait, même les sites web moins connus se retrouvent dans le collimateur des attaquants.

Outre l’exécution de code malveillant, la faille PHP2Shell permettait également la lecture non autorisée de la mémoire vive. En accédant à vos processus serveur, un attaquant peut potentiellement accéder à d’autres informations vous concernant, telles que les mots de passe de bases de données, les jetons de session, les variables d’environnement ou les accès API. Le problème est donc profond et met en danger l’ensemble des données de votre espace web.

Attaques sur les composants secondaires

Remarque : Certaines applications ou composants de systèmes informatiques peuvent utiliser leur propre intégration PHP. C'est par exemple le cas lorsqu'une interface web ou une API basée sur PHP en fait usage. Ces intégrations peuvent donc également être vulnérables à la faille de sécurité PHP2Shell.

Pour obtenir des renseignements plus précis, veuillez vous adresser au fabricant de l'application ou du composant système concerné. La synthèse régulièrement mise à jour par l’ANSSI (Agence nationale de la sécurité des systèmes d'information) sur PHP2Shell peut vous fournir des repères complémentaires. Vous trouverez le lien vers celle-ci à la fin de cet article du Centre d'Assistance.

Indices potentiels d'une attaque PHP2Shell réussie

Des indicateurs généraux d'une éventuelle exploitation ou compromission par PHP2Shell sont répertoriés dans la synthèse produite par l’ANSSI (Agence nationale de la sécurité des systèmes d'information). Les liens qui y figurent fournissent des informations complémentaires.

Vous trouverez le lien vers l'article de l’ANSSI à la fin de cet article du Centre d'Assistance.

Mesures à prendre après une attaque PHP2Shell réussie

Si vous êtes vous-même administrateur de serveur ou si vous trouvez des indices concrets d'une menace, par exemple du code malveillant ou des portes dérobées dans l'espace web, IONOS vous recommande de restaurer vos données à l'état où elles se trouvaient avant les attaques (début octobre 2026).

Voici ce que vous devez faire dès maintenant :

  • Restaurez une sauvegarde intacte de vos données d'espace web.
  • Mettez à jour vos paquets PHP, puis redémarrez l'ensemble des services PHP.
  • Une fois la restauration effectuée, saisissez vos mots de passe modifiés et autres identifiants d'accès tels que les clés API.
     

Vous ne gérez pas vous-même votre espace web ?

Transmettez immédiatement le lien vers cet article du Centre d’Assistance à votre webmaster, à votre service informatique ou à l’agence web qui s’occupe de votre site.

Améliorer la sécurité de votre installation PHP

L'utilisation de versions PHP à jour et officiellement prises en charge constitue une étape importante pour améliorer la sécurité de votre espace web.

Si vous utilisez le support Prolongé PHP IONOS, vous êtes en principe protégé ; toutefois, IONOS vous recommande d'envisager un passage rapide à une version récente de PHP.

Informations complémentaires

Contenu