Panier d'achat
- iKhronos
- PrestaShop
- 49 vues
- Sécurité, PrestaShop, PHP, PHP2Shell
L’ESSENTIEL
Deux failles critiques du moteur PHP (« PHP2Shell ») ont été corrigées le 21 octobre 2026. Le correctif s’applique sur le serveur, pas dans PrestaShop : vérifiez votre version de PHP et faites confirmer l’application par votre hébergeur.
Le 21 octobre 2026, deux vulnérabilités critiques du moteur PHP, surnommées « PHP2Shell » par des chercheurs en sécurité, ont été corrigées par le projet PHP. Toute boutique PrestaShop est concernée, car elle tourne sur PHP. Le point essentiel : le correctif ne s’applique ni dans PrestaShop, ni dans ses modules, ni dans son thème. Il se fait sur le serveur qui héberge le site, par celui qui le gère.
Que s’est-il passé ?
Deux failles de gestion mémoire du moteur PHP ont été annoncées et corrigées le 21 octobre 2026 : CVE-2026-109618 et CVE-2026-109619, avec une criticité élevée (CVSS 9,2 selon l’annonce relayée par PrestaShop). Des requêtes HTTP spécialement conçues peuvent faire planter PHP, exposer des données sensibles, voire exécuter du code à distance sans authentification. Le surnom « php2shell » fait référence à la possibilité de passer d’une simple requête à une exécution de commandes sur le serveur.
Toutes les installations PHP qui servent des requêtes web sont concernées, quel que soit le mode d’exécution (PHP-FPM, mod_php, php-cgi ou équivalent).
Pourquoi votre boutique PrestaShop est concernée alors que la faille est ailleurs
PrestaShop est écrit en PHP : toutes les versions, de 1.6 à 9, s’exécutent sur ce moteur. Selon l’annonce officielle, l’attaque peut se produire avant même l’exécution du code de la boutique : les protections applicatives de PrestaShop ne peuvent donc pas la bloquer.
Mettre à jour PrestaShop, son thème ou ses modules ne corrige rien pour cette faille : il n’existe aucun correctif PrestaShop à installer. La mise à jour à appliquer est celle de PHP lui-même.
Quelles versions de PHP corrigent la faille ?
| Branche de PHP | Version corrigée |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 et antérieur | Pas de mise à jour officielle |
Deux nuances importantes, tirées de la même source :
- Les distributions Linux pratiquent souvent le rétroportage sans changer le numéro de version : une version affichée plus ancienne ne signifie pas automatiquement que le serveur est vulnérable.
- Le projet PHP a publié des rétroports minimaux pour PHP 7.4, 8.0 et 8.1, à la charge de celui qui administre le serveur.
Le correctif se fait sur le serveur, généralement par l’hébergeur
La solution complète décrite par le projet PHP consiste à mettre à jour PHP sur le serveur, puis à redémarrer les processus PHP (pools PHP-FPM, Apache, LiteSpeed ou équivalent) : une mise à jour installée mais non chargée ne protège pas.
PrestaShop, logiciel open source installé sur votre hébergement, n’a pas accès à votre serveur. Le correctif PHP est donc appliqué par celui qui gère ce serveur, le plus souvent l’hébergeur. La recommandation officielle aux marchands est de contacter l’hébergeur et de demander si le correctif pour CVE-2026-109618 et CVE-2026-109619 a été appliqué, avec une confirmation écrite précisant aussi le redémarrage des processus PHP.
Pour vérifier la version de PHP utilisée par votre boutique : back office PrestaShop, menu Paramètres avancés > Informations. Cette lecture donne la version réellement exécutée, à comparer au tableau ci-dessus.
Si la mise à jour immédiate n’est pas possible
L’annonce décrit des mesures intermédiaires (limitation de la taille des requêtes, désactivation du suivi d’envoi de session, pare-feu applicatif web) mais précise qu’aucune mitigation complète n’existe : ces mesures ne remplacent pas la mise à jour de PHP et doivent être testées avant d’être appliquées. Masquer les erreurs PHP, quant à lui, n’a aucun effet contre cette faille.
Signes de compromission à surveiller
- Fichiers .php inconnus ou modifiés récemment dans l’hébergement ;
- comptes administrateur inattendus dans la boutique ;
- redirections non souhaitées ou pages de paiement modifiées.
En cas de doute, PrestaShop recommande de contacter immédiatement l’hébergeur.
Le lien avec une migration PrestaShop
PHP 8.2 atteint sa fin de vie le 31 décembre 2026 selon la même source, et PrestaShop 1.7 et 8 ne prennent pas en charge PHP 8.2 ou supérieur : rester sur ces versions limite l’accès à un environnement PHP maintenu. Une migration vers PrestaShop 9 peut permettre d’utiliser un PHP maintenu, avec le bon ordre de priorité : d’abord le correctif PHP effectif sur le serveur actuel, ensuite l’étude de migration, qui reste soumise à la vérification des dépendances (thème, modules, paiements, transport).
Pour aller plus loin sur la méthode et le périmètre : voir notre page Maintenance, migrations et développement PrestaShop et notre offre de maintenance et assistance.
Source officielle, consultée le 6 novembre 2026 : les explications de PrestaShop sur PHP2Shell.