Ce qui se passe
Des requêtes web préparées permettent d’exécuter du code étranger sur le serveur sans authentification. Un attaquant peut ainsi modifier votre site, lire des données ou envoyer des e-mails.
Faille PHP critique PHP2Shell · 21.10.2026
Quelle version PHP fait tourner votre site ?
Depuis le 21 octobre 2026, la faille PHP critique PHP2Shell est connue. Le test montre en quelques secondes quelle version PHP votre site révèle publiquement, si elle reçoit encore des mises à jour et ce que vous devez faire maintenant.
- Gratuit et sans inscription
- Pages publiques uniquement, aucune attaque
- Dit aussi honnêtement ce qui ne se voit pas de l’extérieur
- PHP
- X-Powered-By
- WordPress
- Plugins
- PHP2Shell
Tester votre site maintenant
Saisissez le domaine ou l’adresse de votre site. Le résultat s’affiche ici immédiatement.
Protection des données : nous consultons uniquement des pages publiques de votre site et ne conservons durablement ni le domaine ni le résultat. Votre adresse IP sert brièvement de somme de contrôle contre les abus.
Le test ne lit que ce que votre serveur affiche de lui-même. Il ne remplace pas l’information de votre hébergeur.
Résultat selon l’identifiant visible publiquement. Hébergeurs et distributions Linux installent souvent des correctifs sans changer le numéro de version. Seule l’information de votre hébergeur fait foi.
Ce que nous avons trouvé
Bon à savoir
Et vos e-mails ?
Un serveur web piraté envoie de l’hameçonnage en votre nom. Vérifiez tout de suite si votre domaine est protégé contre les faux expéditeurs.
Adresses consultées
Vérifier la version vous-même
Ces moyens montrent la version PHP réellement utilisée par votre site.
Vérifier la version vous-mêmePHP2Shell
Ce qui s’est passé le 21 octobre 2026
Le projet PHP a corrigé deux failles critiques dans le cœur de PHP : CVE-2026-109618 et CVE-2026-109619, gravité CVSS 9.2 sur 10. Des entreprises de sécurité signalent déjà des attaques.
Qui est concerné
Toute installation PHP qui répond à des requêtes web : WordPress, Joomla, boutiques en ligne, formulaires de contact et applications PHP maison.
Que faire maintenant
Mettre PHP à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 et faire redémarrer PHP. Avec PHP 8.1 ou plus ancien, passer à une branche maintenue.
Source : php.net, avis de sécurité du 21.10.2026
Transparence
Ce que le test vérifie et ce qu’il ne fait pas
Nous vérifions uniquement ce que tout visiteur de votre site peut voir et consultons au maximum 14 adresses.
Ce que nous vérifions
- En-têtes de la page d’accueil« X-Powered-By » et « Server » indiquent souvent la version PHP, par exemple PHP/8.3.12.
- Pages sans cacheSi un cache masque l’en-tête, nous testons la page d’accueil avec un paramètre aléatoire, une page inexistante (404) et l’adresse www.
- WordPress et autres systèmesNous reconnaissons WordPress, Drupal, Joomla, TYPO3, des boutiques et d’autres systèmes PHP à leurs traces typiques. Pour WordPress, en plus la page de connexion, l’interface et le flux.
- Version minimale des pluginsLes plugins et thèmes liés par votre page d’accueil indiquent « Requires PHP ». On en déduit un minimum, p. ex. « au moins PHP 7.4 ».
- Maintenance et PHP2ShellNous comparons le numéro au cycle de vie publié par php.net et aux correctifs du 21.10.2026.
Ce que nous ne faisons volontairement pas
- Pas de connexion, pas de formulaires, pas de mots de passe
- Pas d’attaques ni d’erreurs provoquées volontairement
- Pas de chemins devinés comme phpinfo.php ou pages d’administration
- Pas de données de tiers ni de moteurs de recherche
- Votre robots.txt est respecté
Pourquoi le résultat n’engage à rien
Le test ne voit que ce que votre serveur révèle volontairement. Les serveurs bien configurés masquent la version PHP. Nous affichons alors « non visible », même si PHP tourne.
Un numéro visible peut tromper : il peut provenir d’un proxy, être volontairement faux ou venir d’une distribution Linux comme Ubuntu ou Debian, qui installe des correctifs sans nouveau numéro.
Seul ce qu’indiquent votre panneau d’hébergement ou WordPress sous « Santé du site » fait foi. Utilisez le test comme indice, pas comme preuve.
Versions PHP et leur maintenance
État au 21.10.2026. Après la fin de vie, il n’y a plus de correctifs de sécurité.
| Branche | Statut | Maintenance active jusqu’au | Correctifs de sécurité jusqu’au | PHP2Shell corrigé dès |
|---|---|---|---|---|
| PHP 8.5 | Active | 31.12.2027 | 31.12.2029 | 8.5.12 |
| PHP 8.4 | Active | 31.12.2026 | 31.12.2028 | 8.4.27 |
| PHP 8.3 | Sécurité seulement | 31.12.2025 | 31.12.2027 | 8.3.36 |
| PHP 8.2 | Sécurité seulement | 31.12.2024 | 31.12.2026 | 8.2.35 |
| PHP 8.1 | Fin de vie | 25.11.2023 | 31.12.2025 | pas de mise à jour officielle |
| PHP 8.0 | Fin de vie | 26.11.2022 | 26.11.2023 | pas de mise à jour officielle |
| PHP 7.4 | Fin de vie | 28.11.2021 | 28.11.2022 | pas de mise à jour officielle |
Source : php.net (Supported Versions, Unsupported Branches, avis de sécurité du 21.10.2026)
En être sûr
Vérifier la version vous-même
Ces moyens montrent la version PHP réellement utilisée par votre site.
WordPress
Outils → Santé du site → Informations → Serveur. Vous y trouvez la version PHP et les extensions.
Panneau d’hébergement
Dans le panneau de votre hébergeur (p. ex. cPanel ou Plesk), consultez la version PHP de ce site précis, pas seulement la valeur par défaut du serveur.
Demander à l’hébergeur
Demandez concrètement : « Le correctif PHP du 21.10.2026 (CVE-2026-109618 et -109619) est-il installé sur notre site ? »
Masquer la version
Avec expose_php = Off, le numéro disparaît des en-têtes. Cela ne corrige aucune faille, mais complique les attaques ciblées.
Étape 2 : protection e-mail
Les serveurs web piratés envoient de l’hameçonnage en votre nom
Quiconque prend le contrôle de votre serveur web peut envoyer des e-mails avec votre domaine comme expéditeur. DMARC, SPF et DKIM font rejeter ces falsifications. Testez votre domaine gratuitement.
Contrôle de domaine gratuit
Votre adresse d’entreprise est-elle protégée ?
Saisissez votre domaine ou votre adresse e-mail. Le résultat s’affiche aussitôt ici, avec un feu tricolore et une note de A à F.
Vous avez ouvert un lien vers un résultat. La vérification ne démarre qu’avec votre clic, toujours avec l’état actuel.
Protection des données : si vous saisissez une adresse e-mail, nous ne transmettons que le domaine ; la partie avant le @ ne quitte pas votre navigateur. Nous utilisons le domaine uniquement pour ce contrôle d’entrées DNS publiques et ne l’enregistrons pas en clair ; nous n’enregistrons pas le résultat. Nous n’enregistrons votre adresse IP que sous forme d’empreinte et au maximum un jour, pour freiner les abus.
Le contrôle rapide repose sur les données DNS publiques au moment de la requête et ne remplace pas un contrôle complet ; sans garantie.
Garder un œil en continu plutôt que vérifier une fois :
Réserver un entretien gratuitSurveiller 14 jours gratuitementPlutôt avec de l’aide ? Demander la mise en place par nos soins- Sans engagement
- Sans carte de crédit
- Se termine de lui-même après 14 jours
Demande sans engagement par e-mail · prix sur demande
La suite
- Votre programme de messagerie ouvre une demande préparée avec votre domaine. Ajoutez votre nom et envoyez-la.
- Nous vous recontactons et discutons avec vous ou votre partenaire informatique des entrées nécessaires (SPF, DKIM, DMARC) et du prix de la mise en place.
- La mise en place nécessite un accès à la gestion DNS de votre domaine. Nous convenons avec vous de la transmission – merci de ne jamais nous envoyer de mots de passe par e-mail.
- Si vous le souhaitez, DomainRadar surveille ensuite votre domaine en continu et vous prévient lorsque quelque chose change.
Aucun programme de messagerie ne s’ouvre ? Écrivez-nous en indiquant votre domaine à info@domainradar.ch.
Bon à savoir : la protection empêche qu’on usurpe exactement votre domaine. Contre les adresses qui ressemblent à la vôtre, confirmez toujours par téléphone les changements de paiement.
Tous les contrôles
Contrôle rapide à partir des entrées DNS publiques. La surveillance continue vérifie en plus les certificats, les listes de blocage et vos rapports DMARC.
Votre résultat en PDF
Sous forme de rapport, à conserver ou à transmettre à votre informatique.
Gratuit et sans compte : vous confirmez votre adresse par e-mail, puis vous pouvez vous désinscrire à tout moment.
Questions sur le test PHP
Le test PHP est-il vraiment gratuit ?
Oui, sans inscription ni carte de crédit. Nous consultons uniquement des pages publiques de votre site, comme un visiteur normal.
Pourquoi le test affiche-t-il « version non visible » ?
Beaucoup d’hébergeurs masquent la version PHP, et c’est bien ainsi. Le test montre alors si PHP tourne et, pour WordPress, quelle version minimale est nécessaire. La version exacte figure dans votre panneau d’hébergement.
Mon site est-il sûr si le test indique « correctif inclus » ?
Pas forcément. Le test évalue uniquement la version PHP visible. Plugins, thèmes, mots de passe et autres logiciels peuvent avoir leurs propres failles.
Qu’est-ce que PHP2Shell ?
Deux failles critiques dans le cœur de PHP (CVE-2026-109618 et CVE-2026-109619), corrigées le 21.10.2026 dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Des attaquants peuvent exécuter du code sur le serveur web sans authentification.
Puis-je tester des sites qui ne m’appartiennent pas ?
Testez uniquement des sites qui vous appartiennent ou dont vous êtes responsable. Le test ne consulte que des pages publiques, respecte le robots.txt et est limité contre les requêtes en masse.
Quel rapport entre PHP et la sécurité des e-mails ?
Un serveur web piraté sert souvent à l’hameçonnage, avec votre domaine comme expéditeur. DMARC, SPF et DKIM empêchent que ces e-mails arrivent chez vos clients. C’est exactement ce que surveille DomainRadar.
Maintenant 14 jours gratuits
Protégez votre domaine
Écrivez-nous – nous vous présentons DomainRadar avec des données d’exemple et voyons ensemble quel abonnement vous convient.
Ou directement par e-mail : info@domainradar.ch
- Sans engagement
- Sans carte de crédit
- Se termine de lui-même après 14 jours