Le 21 octobre 2026, le projet PHP a annoncé deux vulnérabilités critiques et publié des versions corrigées. Une seule requête piégée, envoyée par un attaquant non authentifié, peut suffire à exécuter du code sur le serveur. La presse a commencé à désigner ces deux failles sous le nom de « PHP2Shell ».

PHP fait tourner WordPress et une grande partie des sites de petites entreprises, ainsi que de nombreux outils de newsletter auto-hébergés. Voici ce que cela signifie si vous envoyez une newsletter, et ce qu’il faut vérifier dès aujourd’hui.

Qu’est-ce que PHP2Shell (CVE-2026-109618 et CVE-2026-109619) ?

D’après le bulletin de sécurité officiel de PHP :
Vulnérabilités CVE-2026-109618 (corruption de mémoire lors de la gestion d’un manque de mémoire) et CVE-2026-109619 (état interne qui subsiste après la libération de sa mémoire)
Gravité Toutes deux notées 9,2 (critique) selon CVSS v4.0
Impact Exécution de code à distance sans authentification, avec les droits de l’utilisateur du serveur web
Qui est concerné Toute installation PHP qui traite des requêtes web. Apache avec mod_php est présenté comme le cas le plus exposé
Versions corrigées PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (publiées le 21 octobre)
Versions anciennes PHP 8.1 et antérieures ne sont plus officiellement maintenues ; des correctifs minimaux ont été publiés pour 7.4, 8.0 et 8.1

PHP précise que la mise à jour est la seule correction complète. Les changements de configuration ne font que réduire le risque.

Selon des chercheurs en sécurité et la presse, des tentatives d’exploitation ont été observées avant l’annonce publique, et du code d’exploitation circule.

En France, le CERT-FR a publié une alerte sur ces deux vulnérabilités (CERTFR-2026-ALE-014). Il recommande d’isoler les systèmes concernés et de passer au plus vite à une version de PHP maintenue et corrigée.

Ce que PHP2Shell change pour votre newsletter

Quand on envoie une newsletter, il y a deux risques distincts.

1. Votre site est piraté

Si des attaquants prennent le contrôle de votre site WordPress ou d’un autre site en PHP, ils peuvent glisser de fausses annonces ou des liens vers des sites malveillants dans vos actualités et vos articles de blog.

Si vous construisez ensuite votre newsletter à partir de ces articles, c’est votre propre newsletter qui envoie vos lecteurs vers un site dangereux. Vous perdez la confiance de vos lecteurs, et les signalements de spam rendront vos prochains envois plus difficiles à délivrer.

2. Votre système d’envoi est piraté

Si vous utilisez un outil de newsletter en PHP ou une extension de newsletter WordPress sur votre propre serveur, des attaquants pourraient :

  • Voler votre liste d’abonnés (adresses e-mail et noms)
  • Se servir de votre serveur pour envoyer du spam ou du phishing en masse
  • Abîmer la réputation de votre domaine, si bien que même vos e-mails légitimes n’arrivent plus en boîte de réception

Si vous utilisez WordPress ou une extension de newsletter

WordPress et ses extensions de newsletter fonctionnent avec PHP. Mettre à jour WordPress et vos extensions ne corrige pas cette vulnérabilité si PHP lui-même n’est pas à jour. Vérifiez votre version de PHP dans l’espace client de votre hébergeur ou dans ses annonces.

Check-list pour aujourd’hui

Que faire Comment vérifier
Vérifier votre version de PHP Dans l’espace client ou les annonces de votre hébergeur. Si ce n’est pas l’une des versions corrigées ci-dessus, demandez une mise à jour à votre hébergeur ou à votre administrateur
Si vous ne pouvez pas mettre à jour tout de suite Voyez avec votre administrateur les réglages provisoires proposés par PHP (ils réduisent le risque sans le supprimer). Le CERT-FR recommande d’isoler les systèmes concernés
Mettre à jour WordPress et les extensions Cela ne corrige pas cette faille, mais ferme d’autres portes d’entrée
Relire les contenus récents du site Repérez les articles ou les liens que vous ne reconnaissez pas
Surveiller vos volumes d’envoi Repérez les envois que vous n’avez pas programmés ou les pics soudains
Surveiller les plaintes pour spam et les rebonds Une hausse brutale peut signaler une compromission
Lire vos rapports DMARC Vérifiez si des serveurs inconnus envoient des e-mails au nom de votre domaine

Si votre liste d’abonnés a pu fuiter

Les adresses e-mail et les noms de vos abonnés sont des données personnelles au sens du RGPD. En cas de violation de ces données :

  • Notification à la CNIL (article 33 du RGPD) : dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Si toutes les informations ne sont pas encore disponibles, la CNIL accepte une notification en plusieurs temps. Au-delà de 72 heures, il faut expliquer le retard. La notification se fait en ligne, via le téléservice de la CNIL.
  • Information des personnes concernées (article 34 du RGPD) : lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. En cas de doute, la CNIL indique qu’elle peut vous dire, après notification, s’il faut informer les personnes.

Toute violation doit aussi être consignée dans un registre interne, même lorsqu’elle n’est pas notifiée. Si vous pensez que des données d’abonnés ont été exposées, faites-vous accompagner, par exemple par votre délégué à la protection des données.

Ne pas héberger soi-même son système d’envoi

Quand votre système de newsletter tourne sur votre propre serveur, corriger des failles comme celle-ci est votre travail. Avec un service de newsletter hébergé, maintenir l’infrastructure d’envoi à jour relève du prestataire.

Newsletter Ready n’utilise pas PHP et n’est donc pas concerné par cette vulnérabilité. La sécurité du site dont votre newsletter reprend les contenus reste en revanche de votre ressort : vérifiez aussi sa version de PHP.

Sources

Cet article est une information générale et ne constitue pas un conseil juridique.