Failles PHP 2026 : wp2shell, CVE-2024-4577 et ce que vous devez faire maintenant

En octobre 2026, deux failles critiques touchant l’écosystème PHP circulent activement sur le web. L’une cible WordPress spécifiquement, l’autre concerne tous les sites en PHP sans exception — PrestaShop, Joomla, Drupal, Laravel, Symfony. Le code d’exploitation est public, les attaques sont en cours. Voici ce que vous devez savoir et faire maintenant.

Deux failles PHP, deux niveaux de risque

wp2shell — CVE-2026-63030 + CVE-2026-60137 cible le cœur de WordPress. Elle permet une prise de contrôle complète sans authentification, avec un score de 9,8/10 chez WPScan.

PHP CGI Shell — CVE-2024-4577 concerne toutes les installations PHP en mode CGI. Elle permet l’exécution de code arbitraire à distance et est exploitée activement depuis début 2025 par des groupes de ransomware comme TellYouThePass.

wp2shell — la faille qui cible WordPress spécifiquement

Définition : wp2shell regroupe deux vulnérabilités dans le cœur de WordPress — CVE-2026-63030 et CVE-2026-60137 — permettant à un attaquant non authentifié d’exécuter du code arbitraire et de prendre le contrôle complet d’un site.

• CVE-2026-63030 : confusion dans l’API REST au point d’entrée /wp-json/batch/v1
• CVE-2026-60137 : injection SQL via un paramètre de recherche mal filtré
• Score : 9,8/10 (WPScan) — le code d’exploitation est public sur GitHub

Versions corrigées : WordPress 6.9.5 / 7.0.2 / 6.8.6

Signes de compromission :

• Nouveaux comptes administrateurs que vous n’avez pas créés
• Fichiers PHP inconnus à la racine du site
• Redirections vers des sites tiers
• Contenu modifié ou ralentissements soudains

PHP CGI Shell — la faille qui touche tous les sites en PHP

Définition : CVE-2024-4577 est une vulnérabilité critique dans PHP fonctionnant en mode CGI. Elle permet l’exécution de code arbitraire à distance sans authentification, sur tous les sites hébergés en PHP — quelle que soit la technologie utilisée (WordPress, PrestaShop, Joomla, Drupal, Laravel, Symfony).

Elle est exploitée activement depuis début 2025 par le ransomware TellYouThePass, avec plus de 1 000 adresses IP uniques détectées en janvier 2025 selon GreyNoise. Elle touche principalement PHP sur Windows en mode CGI, mais les configurations Linux peuvent également être exposées selon la version et la configuration du serveur.

Sites concernés :

• WordPress (doublement exposé avec wp2shell)
• PrestaShop
• Joomla
• Drupal
• Tout framework PHP (Laravel, Symfony, CodeIgniter...)

Action prioritaire : vérifier la version PHP de votre hébergement et la mettre à jour vers PHP 8.1.30, 8.2.25 ou 8.3.12 minimum.

Vos sites Directus + Next.js ne sont pas concernés

Définition : Une architecture headless avec Directus et Next.js repose entièrement sur Node.js — un environnement JavaScript côté serveur qui n’utilise pas PHP. wp2shell et CVE-2024-4577 sont des failles PHP : elles n’ont aucune prise sur une infrastructure Node.js.

Si votre site a été développé par WebVision360 avec notre stack Directus + Next.js, vous n’avez rien à faire sur ces deux failles. Pas de PHP, pas de surface d’attaque exposée.

C’est précisément pour des raisons de sécurité que nous avons fait ce choix architectural — et ces failles illustrent concrètement pourquoi.

Ce qu'il faut faire selon votre technologie

Votre site tourne sur WordPress

1. Mettre à jour vers WordPress 6.9.5, 7.0.2 ou 6.8.6 immédiatement
2. Mettre à jour tous les plugins et thèmes
3. Vérifier la présence de comptes administrateurs inconnus
4. Activer un WAF (Cloudflare ou Wordfence) 

Votre site tourne sur PHP (PrestaShop, Joomla, Drupal…)

1. Mettre à jour PHP vers 8.1.30 / 8.2.25 / 8.3.12 minimum
2. Vérifier le mode d'exécution PHP auprès de votre hébergeur (CGI, FPM, mod_php)
3. Activer un WAF avec les signatures CVE-2024-4577
4. Auditer les logs serveur pour détecter des tentatives d'exploitation

Votre site tourne sur Directus + Next.js

Aucune action requise sur ces deux failles. Votre infrastructure Node.js n'est pas concernée.

Pourquoi Web Vision 360 a quitté l’écosystème PHP

Ce n’est pas une critique opportuniste — c’est une décision technique prise il y a plusieurs années, avant même wp2shell. WordPress et PrestaShop sont des outils puissants, mais leur architecture PHP et leur popularité en font des cibles permanentes et prioritaires pour les attaquants.

Notre choix de migrer vers des architectures headless (Directus + Next.js) repose sur trois raisons :

• Sécurité : pas de PHP exposé, infrastructure découplée, surface d’attaque réduite
• Performance : rendu Next.js (SSR/SSG), Core Web Vitals optimisés, compatibilité crawlers IA
• Flexibilité : API-first, connecteurs HubSpot, ERP et outils métier sans dépendance aux plugins

Si wp2shell et CVE-2024-4577 sont l’occasion de vous poser la question d’une migration, nous pouvons réaliser un audit de votre site actuel et vous présenter les options.

Besoin d'aide pour sécuriser ou migrer votre site ?

Vous avez un site WordPress ou PHP et vous avez besoin d'aide pour sécuriser votre infrastructure, auditer une compromission ou migrer vers une architecture headless plus sûre ? Nos équipes vous répondent sous 48h.