Outil gratuit · Faille PHP du 21 octobre 2026

Votre serveur PHP est-il touché par PHP2Shell ?

Indiquez l'adresse de votre site : nous lisons la version de PHP qu'il affiche et nous vous disons quoi faire. Aucun test d'attaque, aucune inscription.

Cet outil a besoin de JavaScript. Vous pouvez aussi vérifier votre version à la main grâce à notre article sur la faille PHP2Shell.

Le plus simple : nous consultons votre site comme un visiteur et lisons la version de PHP qu'il annonce.

Le plus précis : collez la version de PHP telle que l'affiche votre serveur ou WordPress. Nous lisons aussi la date de compilation, indispensable pour PHP 7.4, 8.0 et 8.1.

Résultat de php -v ou version de PHP affichée par WordPress (obligatoire)

Collez au moins la première ligne. Exemple de format : PHP 8.3.36 (cli) (built: Oct 21 2026 12:00:00) (NTS)

Où trouver ma version de PHP ?

Il nous faut le numéro complet de votre version de PHP, en trois parties (par exemple 8.3.36), et pour PHP 7.4, 8.0 et 8.1 sa date de compilation : choisissez votre cas ci-dessous.

Beaucoup d'espaces clients n'affichent que la branche, en deux parties (par exemple « 8.2 »). Cela ne suffit pas : deux sites en 8.2 peuvent être l'un corrigé, l'autre vulnérable. Dans ce cas, utilisez WordPress ou un fichier phpinfo temporaire.

Dans WordPress (tous hébergeurs)

Connectez-vous à l'administration de WordPress avec un compte administrateur.
Dans le menu de gauche, cliquez sur Outils > Santé du site, puis sur l'onglet « Informations ».
Cliquez sur la rubrique « Serveur » pour l'ouvrir.
Sélectionnez la ligne « Version de PHP » avec sa valeur, copiez-la et collez-la dans l'outil.

Ce que vous obtenez : Le numéro complet de la version qui sert votre site, par exemple « 8.3.36 (Supporte les valeurs 64 bits) ». WordPress n'affiche pas la date de compilation.

Pour l'outil : partiel. Oui pour PHP 8.2 à 8.5. Pour PHP 7.4, 8.0 et 8.1, il manque la date de compilation : utilisez la page phpinfo de votre hébergeur (Hostinger, Plesk) ou un fichier phpinfo temporaire.

Voir aussi : Hostinger (hPanel), Plesk, Méthode universelle : un fichier phpinfo temporaire

Sources : Paquet de langue fr_FR de WordPress 7.1.3 (Outils, Santé du site, Informations, Serveur, Version de PHP) (22 octobre 2026) ; Paquet de langue fr_FR de WordPress 6.6.10 (mêmes libellés) (22 octobre 2026) ; WordPress 7.1.3, class-wp-debug-data.php (champ php_version = PHP_VERSION, sans date de compilation) ; idem en 6.6.10 (22 octobre 2026) ; WordPress 7.1.3, site-health-info.php (rubriques repliées par défaut) (22 octobre 2026)

Hébergement web OVHcloud

Connectez-vous à votre espace client OVHcloud.
Ouvrez « Web Cloud » > « Hébergements », puis choisissez votre hébergement.
Dans l'onglet « Informations générales », lisez la version indiquée sous « Version PHP globale ».
Pour obtenir le numéro complet, suivez la méthode du fichier phpinfo temporaire, que la documentation d'OVHcloud propose aussi.

Ce que vous obtenez : La branche de PHP réglée pour l'hébergement, par exemple 8.3, et non le numéro complet. Le fichier « .ovhconfig », à la racine de votre espace FTP, donne la même information (ligne app.engine.version). Si vous hébergez plusieurs sites, l'un d'eux peut avoir son propre fichier « .ovhconfig » et une autre version.

Pour l'outil : insuffisant. L'outil ne peut pas conclure sur une branche seule. Passez par WordPress ou par un fichier phpinfo temporaire.

Voir aussi : Dans WordPress (tous hébergeurs), Méthode universelle : un fichier phpinfo temporaire

Sources : OVHcloud, « Hébergement web - Environnement, version PHP, « .ovhconfig » » (parties 1.2, 3.3 et 4) (22 octobre 2026) ; OVHcloud, « Hébergement web - Versions disponibles des langages » (branches seulement) (22 octobre 2026)

o2switch (cPanel)

Connectez-vous à votre cPanel o2switch.
Dans la rubrique « Logiciels », ouvrez l'outil « Sélectionner une version de PHP ».
Lisez la version affichée dans le menu déroulant, en face de « Current PHP version » (cette page est en anglais).

Ce que vous obtenez : La branche, par exemple 8.3, ou la version « native » si vous n'avez jamais changé de version : c'est alors la version par défaut de l'hébergement.

Pour l'outil : insuffisant. Pour le numéro complet, o2switch conseille lui-même un petit fichier phpinfo : suivez la méthode du fichier phpinfo temporaire, ou passez par WordPress.

Voir aussi : Méthode universelle : un fichier phpinfo temporaire, Dans WordPress (tous hébergeurs)

Sources : o2switch, FAQ « Sélectionner une version de PHP » (22 octobre 2026) ; o2switch, même FAQ : catégorie « Logiciels » de la partie cPanel (22 octobre 2026) ; o2switch, capture officielle du « PHP Selector » (« Current PHP version », valeur 8.3) (22 octobre 2026)

IONOS

Connectez-vous à votre compte IONOS.
Dans la barre de titre, cliquez sur « Menu » > « Hébergement », puis choisissez votre contrat si vous en avez plusieurs.
Dans la vignette « PHP », cliquez sur « Administrer ».
Lisez la colonne « Version PHP » en face de votre domaine.

Ce que vous obtenez : La version active pour chaque domaine, en principe la branche (par exemple 8.4) : IONOS installe lui-même les mises à jour de chaque branche. Sur les offres WordPress Managed et MyWebsite, IONOS gère seul la version de PHP.

Pour l'outil : probablement insuffisant. Si la colonne n'affiche que deux parties, utilisez WordPress ou un fichier phpinfo temporaire. IONOS indique par ailleurs avoir installé la mise à jour officielle de PHP sur toutes les plateformes qu'il exploite.

Voir aussi : Dans WordPress (tous hébergeurs), Méthode universelle : un fichier phpinfo temporaire

Sources : IONOS Assistance, « Afficher ou changer la version de PHP » (22 octobre 2026) ; IONOS Assistance, même page : mises à jour installées automatiquement (22 octobre 2026) ; IONOS, « Failles de sécurité PHP : les sites Web hébergés chez IONOS sont protégés » (22 octobre 2026)

Hostinger (hPanel)

Connectez-vous à hPanel, ouvrez « Sites web », puis cliquez sur « Gérer » à côté de votre site.
Dans la barre latérale de gauche, recherchez « Info PHP » et cliquez dessus.
En haut de la page, copiez le titre « PHP Version » suivi du numéro, et collez-le dans l'outil.
Juste en dessous, copiez la ligne « Build Date » et collez-la à la suite.

Ce que vous obtenez : Le numéro complet et la date de compilation. (La page « Configuration PHP » sert, elle, à changer de version.) Un sous-domaine ou un sous-dossier peut utiliser une autre version : Hostinger conseille alors un fichier phpinfo dans ce dossier.

Pour l'outil : suffisant. Numéro complet et date de compilation sur la même page.

Voir aussi : Méthode universelle : un fichier phpinfo temporaire

Sources : Hostinger, « Comment Vérifier la Version de PHP chez Hostinger » (Sites web → Gérer, Info PHP) (22 octobre 2026) ; Hostinger, « How to check the PHP version in Hostinger » (Websites > Dashboard > PHP Info) (22 octobre 2026) ; Hostinger, capture officielle de la page « PHP info » (PHP Version 7.4.26, Build Date) (22 octobre 2026) ; Hostinger, « Comment Changer la Version PHP de Votre Hébergement Hostinger » (Configuration PHP) (22 octobre 2026)

Plesk

Connectez-vous à Plesk et ouvrez « Sites Web & Domaines ».
Sous le nom de votre site, cliquez sur « Paramètres PHP » : la version choisie pour le site y figure.
Cliquez sur « Voir la page phpinfo() ».
Copiez le titre « PHP Version » suivi du numéro, puis la ligne « Build Date », et collez-les dans l'outil.
Si vous administrez le serveur (Plesk pour Linux), la commande SSH /opt/plesk/php/8.1/bin/php -v (remplacez 8.1 par la branche de votre site) donne le numéro et la date sur une seule ligne.

Ce que vous obtenez : Avec la page phpinfo ou la commande, le numéro complet et la date de compilation. Chez Plesk pour Linux, PHP 7.4.33, 8.0.30 et 8.1.34 compilés le 21 octobre 2026 contiennent le correctif. Côté administrateur, « Outils & Paramètres » > « Paramètres PHP » liste les versions installées avec leur numéro, mais sans la date.

Pour l'outil : suffisant. Oui avec la page phpinfo ou la commande. Le menu « Paramètres PHP » seul ne donne pas la date de compilation.

Voir aussi : Sur votre serveur (VPS ou serveur dédié)

Sources : Plesk Obsidian, Guide du client (français), « Paramètres PHP » (22 octobre 2026) ; Code source de PHP, ext/standard/info.c (titre « PHP Version », ligne « Build Date ») (22 octobre 2026) ; Plesk, article PHP2Shell (rubriques « In Plesk UI » et « In CLI (Linux) », règle de la date du 21/10/2026) (22 octobre 2026) ; Plesk Obsidian, Guide de l'administrateur (français), « Extensions et paramètres PHP » (Outils & Paramètres > Paramètres PHP) (22 octobre 2026)

cPanel (autres hébergeurs)

Connectez-vous à votre cPanel.
Ouvrez « MultiPHP Manager » (rubrique « Software »). Sur les serveurs CloudLinux, l'outil peut s'appeler « Select PHP Version », traduit « Sélectionner une version de PHP » chez certains hébergeurs.
Dans MultiPHP Manager, lisez la version de PHP en face de votre domaine ; la mention « Inherited » signifie que le domaine suit la version par défaut du serveur. Dans « Select PHP Version », lisez la valeur en face de « Current PHP version ».
Pour le numéro complet, suivez la méthode du fichier phpinfo temporaire (ou passez par WordPress).

Ce que vous obtenez : La branche, par exemple PHP 8.2. Votre hébergeur peut aussi masquer ces outils : demandez-lui alors la version.

Pour l'outil : insuffisant. L'outil ne peut pas conclure sur une branche seule.

Voir aussi : Méthode universelle : un fichier phpinfo temporaire, Dans WordPress (tous hébergeurs)

Sources : cPanel, « MultiPHP Manager for cPanel » (liste des domaines, Inherited, versions 7.4 et 8.1 à 8.5, Feature Manager) (22 octobre 2026) ; CloudLinux, « CloudLinux Manager UI », PHP Selector client plugin (cPanel → Software Section → Select PHP Version) (22 octobre 2026) ; o2switch, FAQ : traduction « Sélectionner une version de PHP » et capture « Current PHP version » (22 octobre 2026)

Sur votre serveur (VPS ou serveur dédié)

Connectez-vous au serveur en SSH et tapez php -v.
Attention : cette commande donne la version de la ligne de commande (mention « cli »). Votre site passe souvent par PHP-FPM, qui peut être une autre version : vérifiez la branche du site dans WordPress ou avec un fichier phpinfo.
Interrogez ensuite cette version précise : sur Debian, /usr/sbin/php-fpm8.3 -v (remplacez 8.3 par la branche du site) ; sous Plesk pour Linux, /opt/plesk/php/8.3/bin/php -v.
Copiez la première ligne du résultat, par exemple « PHP 8.3.36 (cli) (built: Oct 21 2026 08:04:57) (NTS) », et collez-la dans l'outil.
Pour savoir si le paquet installé contient le correctif, affichez son numéro complet : sur Debian ou Ubuntu, dpkg-query -W -f='${Version}\n' php8.3-common (remplacez 8.3 par la branche du site) ; sur Red Hat, AlmaLinux, Rocky Linux ou Oracle Linux, rpm -q php-common ; sur SUSE, rpm -q php8 (ou php7) ; avec cPanel ou CloudLinux, selon votre système, rpm -q --changelog ea-php84-php-cli ea-php84-meta 2>/dev/null | grep -E 'CVE-2026-(109618|109619)' (remplacez 84 par la branche, sans le point) ou, pour cPanel sur Ubuntu, dpkg-query -W ea-php84-php-cli.
Collez ce résultat dans l'outil : il le compare au tableau des versions corrigées des distributions. C'est lui qui tranche quand PHP affiche un numéro figé (par exemple 8.3.6 sur Ubuntu 24.04 ou 8.0.30 sur Red Hat Enterprise Linux 9).

Ce que vous obtenez : Le numéro complet, la date de compilation (après « built: ») et le mode d'exécution (« cli » pour la ligne de commande, « fpm-fcgi » pour PHP-FPM). Si le numéro porte un suffixe de distribution Linux, collez la ligne telle quelle : l'outil en tient compte.

Pour l'outil : suffisant. Oui, à condition d'interroger la version qui sert réellement le site.

Voir aussi : Dans WordPress (tous hébergeurs), Méthode universelle : un fichier phpinfo temporaire, Plesk

Sources : Manuel PHP (français), « Options de ligne de commande », option -v (22 octobre 2026) ; Code source de PHP, sapi/fpm/fpm/fpm_main.c (php-fpm -v, SAPI fpm-fcgi, « built: ») (22 octobre 2026) ; Debian, paquet php8.4 8.4.24-1~deb13u1 (binaire /usr/sbin/php-fpm<branche>) (22 octobre 2026) ; Plesk, article PHP2Shell (commande /opt/plesk/php/8.3/bin/php -v et exemple de sortie réelle) (22 octobre 2026)

Méthode universelle : un fichier phpinfo temporaire

Sur votre ordinateur, créez un fichier texte qui contient uniquement : <?php phpinfo(); ?>
Enregistrez-le sous un nom impossible à deviner, terminé par .php, par exemple verif-k7q2x9m4.php (évitez « info.php » ou « phpinfo.php »).
Déposez-le dans le dossier principal de votre site (pour WordPress, celui qui contient wp-config.php), avec le gestionnaire de fichiers de votre hébergeur ou un logiciel FTP.
Ouvrez son adresse dans votre navigateur, par exemple https://www.votresite.fr/verif-k7q2x9m4.php, puis copiez le titre « PHP Version » suivi du numéro et la ligne « Build Date », et collez-les dans l'outil.
Supprimez le fichier aussitôt, puis rechargez son adresse : la page ne doit plus s'afficher.

Ce que vous obtenez : Le numéro complet et la date de compilation de la version qui sert réellement ce dossier.

Pour l'outil : suffisant. Numéro complet et date de compilation.

Précautions : Cette page affiche toute la configuration du serveur, ses chemins et ses variables d'environnement, où peuvent figurer des mots de passe ou des clés. Ne la laissez jamais en ligne, ne la partagez pas (ni capture d'écran, ni lien) et ne copiez que les deux lignes utiles. Si la page reste blanche ou affiche une erreur, votre hébergeur a peut-être désactivé cette fonction : demandez-lui la version.

Sources : OVHcloud, guide « Environnement, version PHP, .ovhconfig », partie « Via un script » (22 octobre 2026) ; o2switch, FAQ : fichier info.php à supprimer une fois les tests terminés (22 octobre 2026) ; Manuel PHP (français), phpinfo : configuration, chemins, variables EGPCS (22 octobre 2026) ; OWASP, Cryptographic Storage Cheat Sheet : clés en variables d'environnement exposées par phpinfo() (22 octobre 2026) ; OWASP, PHP Configuration Cheat Sheet : phpinfo dans disable_functions (22 octobre 2026) ; Code source de PHP, ext/standard/info.c (titre « PHP Version », ligne « Build Date ») (22 octobre 2026)

Le texte collé sert uniquement à cette analyse : nous ne le conservons pas.

Ce que ce test peut dire, et ce qu'il ne peut pas dire

Il lit la version de PHP que votre site annonce à tout visiteur, dans ses en-têtes techniques (X-Powered-By, parfois Server) : sur la page d'accueil et, au besoin, sur une page inexistante et sur la page /wp-json/ de WordPress. Il ne tente aucune attaque : sans l'autorisation du responsable du serveur, ce serait un délit, même en cas d'échec (articles 323-1 et 323-7 du Code pénal). Et ce n'est pas nécessaire pour répondre à la question.
Un en-tête peut être masqué, modifié ou conservé en cache depuis une ancienne version : il peut donc mentir. Le résultat de php -v, ou la version affichée par WordPress, est plus fiable.
Il vérifie un seul site (son adresse avec ou sans www, en https:// ou en http://). Un même serveur peut faire tourner plusieurs versions de PHP, une par site.
Il ne dit pas si votre site a déjà été attaqué.
Il ne remplace pas un audit de sécurité.

Les versions de PHP corrigées le 21 octobre 2026

Source : php.net, versions prises en charge et annonce du 21 octobre 2026.
Branche	Version corrigée	Fin du support de sécurité
PHP 8.5	8.5.12	31 décembre 2029
PHP 8.4	8.4.27	31 décembre 2028
PHP 8.3	8.3.36	31 décembre 2027
PHP 8.2	8.2.35	31 décembre 2026
PHP 8.1, 8.0 et 7.4	Pas de nouvelle version : correctif fourni à part pour le code source	Support terminé
PHP 7.3 et plus ancien	Aucun correctif du projet PHP	Support terminé

Besoin d'aide pour mettre PHP à jour ?

Version vulnérable, site en erreur après la mise à jour, hébergeur qui ne répond pas : nos développeurs mettent PHP à jour et vérifient votre site après la bascule. Sauvegarde avant intervention, contrôle des pages, correction des extensions incompatibles.

Faire sécuriser mon site Lire notre article sur la faille PHP2Shell

Comment connaître la version de PHP de son site

La version qui compte est celle qui sert réellement le site, par exemple par PHP-FPM, le module Apache ou PHP en CGI. Elle peut différer de celle que donne la commande php -v en ligne de commande.

Dans WordPress : Outils > Santé du site

Dans l'administration WordPress, ouvrez Outils > Santé du site, onglet Informations, rubrique Serveur : la ligne « Version de PHP » donne la version utilisée par le site.

Chez l'hébergeur ou dans Plesk

La plupart des hébergeurs affichent la version de PHP de chaque site dans leur espace client. Sous Plesk, elle figure dans les paramètres PHP de chaque domaine. Pour PHP 8.1, 8.0 et 7.4 sous Plesk pour Linux, la commande /opt/plesk/php/8.1/bin/php -v (en adaptant le numéro de branche) affiche la date de compilation : une date du 21 octobre 2026 ou postérieure indique la version recompilée avec le correctif.

Faut-il masquer la version de PHP ?

Masquer la version, par exemple avec le réglage expose_php = Off, évite de l'annoncer à tout visiteur : c'est une bonne pratique de discrétion. Mais cela ne corrige rien. Les chercheurs qui ont présenté PHP2Shell le rappellent : ce réglage ne protège pas contre la faille. Si votre site masque sa version sur toutes les pages consultées, notre test ne peut pas conclure à partir de l'adresse : utilisez le second onglet avec le résultat de php -v.

Questions fréquentes

Comment savoir si mon site est touché par la faille PHP2Shell ?

Comparez la version de PHP qui sert votre site aux versions corrigées le 21 octobre 2026 : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Une version plus ancienne dans sa branche, ou PHP 8.1 et antérieur, est concernée selon le CERT-FR. Notre test lit la version annoncée par votre site ; si elle est masquée, collez le résultat de php -v.

PHP 7.4.33 ou PHP 8.1 : mon site est-il vulnérable ?

Par défaut, oui : PHP 8.1, 8.0 et 7.4 n'ont pas de nouvelle version, l'équipe de sécurité de PHP a seulement fourni un correctif à intégrer au code source, et rien pour PHP 7.3 et plus ancien. Le CERT-FR recommande d'isoler les serveurs concernés puis de migrer. Certains fournisseurs, comme Plesk pour Linux ou OVHcloud, ont recompilé ces versions avec le correctif sans changer leur numéro : chez Plesk, c'est la date de compilation affichée par php -v qui l'indique. Le passage à PHP 8.3 ou plus récent reste la solution durable.

Mon site est touché : que faire en urgence ?

Installez la version corrigée de votre branche (pour PHP 8.1 et plus ancien, la version recompilée de votre fournisseur, ou mieux PHP 8.3 ou plus récent), puis redémarrez PHP-FPM ou Apache pour que tous les processus la chargent. Sur un hébergement mutualisé, demandez à votre hébergeur la date du correctif. En attendant, le CERT-FR cite des contournements provisoires non qualifiés, comme session.upload_progress.enabled = Off, qui ne couvrent qu'une partie du risque.

Sources

Sources consultées les 21 et 22 octobre 2026. Pour comprendre la faille et la mise à jour de PHP sur WordPress, lisez notre article : Faille PHP du 21 octobre 2026 (PHP2Shell) : comment mettre à jour PHP sur WordPress.