WooCommerce Actu
PHP2Shell : la faille critique que WooCommerce ne peut pas corriger à votre place
Deux failles critiques viennent d'être corrigées dans le moteur PHP lui-même, pas dans WooCommerce : aucune mise à jour de plugin ne les corrige. Une boutique à jour sur ses extensions peut donc rester exposée si son hébergeur n'a pas encore déployé le correctif côté serveur.
Le 21 octobre 2026, le projet PHP a publié une alerte de sécurité pour deux failles critiques, surnommées PHP2Shell dans la presse spécialisée et référencées CVE-2026-109618 et CVE-2026-109619. Les deux permettent une exécution de code à distance sans authentification. WooCommerce a relayé l’alerte le jour même sur son blog de développement, avec une précision qui change tout pour une boutique : ni WooCommerce ni WordPress ne corrigent cette faille. Le correctif se joue entièrement côté serveur, dans le moteur PHP.
Les versions corrigées, publiées le même jour par le projet PHP, sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le projet PHP précise aussi que PHP 8.1 et les versions antérieures ne reçoivent plus de correctif de sécurité : une boutique encore sur une de ces versions reste exposée quoi qu’il arrive, et son seul recours est de monter de version majeure, pas seulement de patch.
Pourquoi WooCommerce ne peut rien faire depuis l’extension
La distinction est inhabituelle, et c’est précisément pour cela que WooCommerce a publié une alerte dédiée plutôt que de laisser passer la faille dans une simple note de version. Une mise à jour de plugin, de thème ou du cœur WooCommerce ne touche jamais à l’interpréteur PHP qui exécute le site : celui-ci est installé et maintenu par l’hébergeur, pas par la boutique elle-même. Une boutique peut donc être parfaitement à jour sur WooCommerce, ses extensions et son thème, et rester vulnérable si son hébergeur n’a pas encore déployé le correctif.
WooCommerce recommande dans son alerte de vérifier la version PHP active depuis l’administration, sous Outils puis Santé du site, dans l’onglet Informations, à la section Serveur. C’est la vérification la plus rapide, et elle ne demande aucune compétence technique particulière.
Ce que WooCommerce ne couvre pas, et ce que l’hébergeur doit faire
L’alerte de WooCommerce précise que les boutiques hébergées sur l’infrastructure d’Automattic (WordPress.com, WordPress VIP, Pressable, WP Cloud) sont déjà protégées, le correctif ayant été déployé côté plateforme. Pour toutes les autres boutiques, hébergées chez un prestataire tiers ou sur un serveur dédié, la vérification et la mise à jour PHP relèvent de l’hébergeur, pas de l’équipe boutique. WooCommerce recommande de contacter son hébergeur sans attendre pour confirmer la version déployée et, si elle n’est pas encore corrigée, la date prévue de mise à jour.
Pour les boutiques qui gèrent elles-mêmes leur serveur et ne peuvent pas appliquer le correctif immédiatement, WooCommerce reprend une recommandation du centre britannique de cybersécurité (NCSC) : envisager de mettre le serveur hors ligne tant que la mise à jour n’est pas faite, plutôt que de rester exposé à une faille d’exécution de code à distance sans authentification.
Cette alerte s’inscrit aussi dans une trajectoire plus large annoncée par WooCommerce : le socle minimal actuel reste PHP 7.4, mais WooCommerce a prévenu qu’il relèverait ce minimum à PHP 8.1, et l’éditeur recommande déjà PHP 8.3 ou plus récent pour une boutique en production. Une boutique encore sur une version PHP ancienne cumule donc deux risques : l’exposition immédiate à PHP2Shell, et une obsolescence annoncée côté compatibilité WooCommerce.
La faille n’est pas propre à WooCommerce : le même correctif concerne les boutiques PrestaShop, puisqu’il s’agit du moteur PHP et non d’une plateforme e-commerce en particulier. Ce qui change d’une boutique à l’autre, c’est l’endroit où vérifier la version active et l’interlocuteur à contacter pour la faire corriger.
Ce correctif est distinct de celui qui avait motivé la mise à jour de sécurité de WooCommerce 11.2 début octobre, qui portait sur le tunnel de commande et non sur le serveur : les deux sujets se cumulent, ils ne se remplacent pas, et une boutique prudente vérifie les deux indépendamment.
Ce qu’il faut retenir
- Deux failles critiques (CVE-2026-109618, CVE-2026-109619) corrigées le 21 octobre 2026 dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, pas dans WooCommerce.
- Aucune mise à jour WooCommerce ou WordPress ne corrige cette faille : la vérification se fait côté hébergement.
- Les boutiques hébergées par Automattic (WordPress.com, VIP, Pressable, WP Cloud) sont déjà protégées ; les autres doivent vérifier leur version PHP sous Outils > Santé du site et contacter leur hébergeur si elle est antérieure aux versions corrigées.
- PHP 7.4 reste le minimum technique de WooCommerce aujourd’hui, mais l’éditeur recommande déjà PHP 8.3 ou plus récent et a annoncé un relèvement futur à PHP 8.1.
Ce type d’alerte est celui qu’on ignore le plus facilement, parce qu’il ne se présente pas comme une mise à jour à cliquer dans l’administration. Le réflexe à garder est simple : demander explicitement à son hébergeur, par écrit, sa version PHP exacte et la date du correctif, plutôt que de supposer qu’une infrastructure gérée s’en occupe automatiquement. — Simon Janvier
Votre hébergeur a-t-il confirmé sa version PHP depuis cette alerte ? L’audit offert vérifie la configuration serveur de votre boutique et son exposition aux failles connues. Demander l’audit e-commerce
