PHP2Shell, deux semaines après : 250 000 sites en .fr affichent encore une version vulnérable
Next a interrogé 4,6 millions de domaines en .fr : 250 000 annoncent un PHP touché par les failles. Ce que ce chiffre dit, ce qu'il ne dit pas, et le .be.
Beaucoup de serveurs web déclinent leur identité à chaque visite, version de PHP comprise. Un peu comme un concierge qui donnerait la marque de la serrure à tous ceux qui sonnent.
C’est cette carte de visite que Next a relevée sur tout le .fr. Verdict : au moins 250 000 domaines annoncent une version de PHP touchée par PHP2Shell, deux semaines après les correctifs du 21 octobre.
Pour rappel, PHP2Shell désigne deux failles critiques qui permettent d’exécuter du code à distance sur un serveur (on en avait parlé : des sites belges débranchés par précaution). Les attaques réussies ont suivi en quelques jours (on en a aussi déjà parlé : les premières attaques confirmées).
Cinq jours de scan, 4,6 millions de noms
Next est parti du fichier en données ouvertes de l’Afnic, le registre du .fr, et a interrogé les 4,6 millions de domaines qui existaient encore en septembre. À une dizaine de domaines par seconde, l’opération a pris cinq jours.
| Réponse du domaine | Nombre |
|---|---|
| Aucune réponse | environ 1,2 million |
| Réponse sans version de PHP | environ 2,6 millions |
| Version de PHP affichée | environ 500 000 |
| dont version vulnérable annoncée | au moins 250 000 |
Ce que le chiffre ne dit pas
Une version affichée n’est pas toujours une version vulnérable. Des distributions Linux comme Debian ou Ubuntu corrigent souvent les failles sans changer le numéro de version annoncé : un serveur peut afficher une « vieille » version déjà rapiécée. À l’inverse, les 2,6 millions de sites muets peuvent cacher des PHP pas à jour.
Le thermomètre reste parlant, et la température est élevée. L’agence américaine CISA a ajouté les deux failles à son catalogue des vulnérabilités exploitées, le CERT-FR a constaté des tentatives d’exploitation, et Dream Research décrit une campagne, qui semblait chinoise et assistée par l’IA, ayant obtenu un accès root sur 25 serveurs.
Mauvaise nouvelle pour les retardataires : seules les branches 8.2 à 8.5 reçoivent un correctif, alors que la faille remonterait à PHP 5.4, sorti en 2012. Une troisième faille, CVE-2026-115560, attend le prochain cycle de mises à jour ; l’éditeur juge sa configuration d’exploitation peu probable.
Et le .be ?
Aucun décompte équivalent n’a été publié pour le .be à notre connaissance. DNS Belgium ne diffuse pas, comme l’Afnic, un fichier ouvert de tous ses domaines, ce qui complique l’exercice. Le Centre pour la cybersécurité Belgique (CCB) avait lancé un « appel à l’action urgent » avant même la sortie des correctifs.
Vérifier son site en deux minutes
- Dans un terminal :
curl -sI https://votre-site.be | grep -i x-powered-by. Si une version de PHP s’affiche, comparez-la avec la dernière version de sa branche. - Rien ne s’affiche ? Votre hébergeur indique la version dans son panneau d’administration.
- Masquer la version (
expose_php = Off) évite de distribuer sa carte de visite, mais ne corrige rien. - Sur un hébergement mutualisé, c’est l’hébergeur qui met PHP à jour : demandez-lui la date de son correctif.
En bref
- Next a interrogé 4,6 millions de domaines en .fr : environ 500 000 affichent leur version de PHP, dont au moins 250 000 une version touchée par PHP2Shell.
- Le chiffre est indicatif : certaines distributions corrigent sans changer le numéro de version.
- Les failles sont exploitées : catalogue de la CISA, tentatives relevées par le CERT-FR, 25 serveurs compromis selon Dream Research.
- Seules les branches 8.2 à 8.5 sont corrigées ; aucun décompte n’existe pour le .be.
Sources : Next, CISA, catalogue KEV, PHP, téléchargements.
Cet article…
Le Bien Heureux · Rédaction Capibara · Mardi 3 novembre 2026