Blog · Dette technique

PHP2Shell : la question n'est plus quelle version patcher

Le 21 octobre 2026, deux failles critiques ont été corrigées dans PHP (CVE-2026-109618 et CVE-2026-109619, surnommées PHP2Shell) : exécution de code à distance, sans authentification. Sur un serveur non à jour, un inconnu peut prendre la main sans mot de passe. La CISA, l'agence américaine de cybersécurité, demande un correctif immédiat.

Vous allez patcher. Comme la dernière fois, et comme la prochaine.

Le quotidien de PHP

Une faille critique, une course au correctif, et on recommence quelques mois plus tard. Pour un blog, on vit avec. Pour une application métier dont dépend votre activité, c'est une dette permanente.

À un moment, la question n'est plus « quelle version faut-il patcher », mais « pourquoi mon outil critique dépend-il encore d'un socle qui expose ça ».

Changer de socle

C'est le travail d'Unidus Consulting : réécrire les applications métier vieillissantes, PHP comme WinDev ou WebDev, vers une base qui ne joue pas à ce jeu, Rust et JavaScript. Par jalons, sans recopier la dette, en maintenant l'existant le temps de la bascule.

Savoir ce que vous exposez aujourd'hui

Pour commencer, un outil gratuit qui montre ce que votre site expose : version de PHP, en-têtes de sécurité, certificat, politique de contenu. Lecture passive, aucune inscription : l'audit de sécurité en libre-service.

Un numéro de version affiché ne prouve pas que vous êtes vulnérable. Mais si vous ne savez même pas ce que vous exposez, c'est déjà une réponse.

À lire aussi : Rafistoler ou reconstruire ? · Il n'y a pas de bouton magique