Produits et piles · Plateformes d’hébergement et gestionnaires de serveurs

PHP2Shell dans Bluehost : est-il touché et comment corriger

Verdict rapide

Affecté ; un correctif n’existe que pour certaines versions ou certains composants.

État éditeur: Partiellement corrigé
PHP: patched builds deploying · cPanel 8.2–8.5 + 7.4–8.1 backports · CloudLinux/TuxCare backports 5.2–8.5 · Plesk · VPS/dedicated: package update
Dernière vérification: 2026-10-22

L’annonce de statut de Bluehost « PHP Updates » (publiée le 21 octobre) indique dans sa dernière mise à jour, le 22 octobre à 10:00 heure de l’Est américain (14:00 UTC), que ses équipes ont nettement avancé dans le déploiement de versions corrigées de PHP sur toute son infrastructure, et liste désormais ces versions : sous cPanel EasyApache 4, PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 plus les rétroportages fournisseur 8.1.34-5, 8.0.30-12 et 7.4.33-19 ; sous CloudLinux EasyApache 4 pour CentOS 7 / CloudLinux 7, des rétroportages pour chaque branche de 5.2 à 8.3 (par exemple ea-php83 8.3.35-2.el7.cloudlinux.2 et ea-php74 7.4.33-18.el7.cloudlinux.13) ; des versions alt-php ELS de CloudLinux/TuxCare pour 5.2 à 8.5 (par exemple alt-php85 8.5.11-5 et alt-php82 8.2.34-7) ; sous Plesk, PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 plus Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 pour le PHP du panneau lui-même ; et des paquets de distribution pour AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu et Debian. Beaucoup de rétroportages conservent un ancien numéro de version : comparez la chaîne de build complète. Selon Bluehost, si la version affichée par phpinfo() correspond à une version listée ou est plus récente, le site est corrigé et rien n’est à faire ; les clients qui gèrent eux-mêmes un VPS ou un serveur dédié doivent lancer une mise à jour des paquets depuis le panneau, et les clients devant agir sont prévenus par e-mail. La mise à jour précédente (23:00 heure de l’Est le 21 octobre) indiquait que la majorité des serveurs étaient corrigés, avec des mesures d’atténuation maintenues pouvant limiter la taille des téléversements. Aucune date de fin n’est donnée.

Vérifier la version de PHP utilisée par Bluehost

Lancez la commande adaptée à votre installation. Une version égale ou supérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 dans sa branche est corrigée ; les branches plus anciennes ne le sont que par un build éditeur qui l’indique.

php -v

Le php en ligne de commande peut différer du PHP qui sert le site. Pour en être sûr, vérifiez la SAPI web (une page phpinfo() temporaire protégée par authentification, ou les réglages PHP du panneau) puis supprimez-la. Notre vérificateur de version compare le numéro pour vous.

🔎 Vous avez un numéro de version ? Collez-le dans le vérificateur PHP2Shell →

Corriger PHP2Shell dans Bluehost

Déterminez d’où vient le PHP qui fait tourner cette application : votre distribution, un dépôt tiers (Ondřej Surý, Remi), un panneau d’hébergement, une image Docker ou votre hébergeur.
Mettez ce PHP à jour en 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou vers un build éditeur avec le correctif rétroporté, et redémarrez tous les workers PHP.
En hébergement mutualisé ou infogéré, vous ne pouvez pas corriger PHP vous-même : demandez à l’hébergeur si le PHP corrigé est déployé et basculez le site sur une version corrigée dans le panneau.
Si le site tourne encore en PHP 8.1 ou antérieur, passez à une branche maintenue ; PHP n’a publié que des correctifs source pour 7.4, 8.0 et 8.1.

Vous préférez laisser un agent IA vérifier ? Vérifier si vous êtes touché · Corriger avec un agent IA

Si vous ne pouvez pas encore corriger

Réglez session.upload_progress.enabled = 0 là où les applications ne peuvent pas le modifier (php.ini, php_admin_value dans le pool FPM ou la config Apache), puis redémarrez PHP.
Sous PHP 8.5, réglez fatal_error_backtraces = 0.
Les mesures provisoires de PHP portent aussi sur memory_limit et un post_max_size bas ; suivez précisément la page de correctif, car ces réglages ne couvrent que certains chemins.
Restreignez l’accès (VPN, liste d’IP) ou mettez le service hors ligne s’il tourne en PHP 8.1 ou antérieur sans rétroportage de l’éditeur. Les règles WAF aident mais ne corrigent pas.

FAQ

Bluehost est-il touché par PHP2Shell ?

Affecté ; un correctif n’existe que pour certaines versions ou certains composants. L’annonce de statut de Bluehost « PHP Updates » (publiée le 21 octobre) indique dans sa dernière mise à jour, le 22 octobre à 10:00 heure de l’Est américain (14:00 UTC), que ses équipes ont nettement avancé dans le déploiement de versions corrigées de PHP sur toute son infrastructure, et liste désormais ces versions : sous cPanel EasyApache 4, PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 plus les rétroportages fournisseur 8.1.34-5, 8.0.30-12 et 7.4.33-19 ; sous CloudLinux EasyApache 4 pour CentOS 7 / CloudLinux 7, des rétroportages pour chaque branche de 5.2 à 8.3 (par exemple ea-php83 8.3.35-2.el7.cloudlinux.2 et ea-php74 7.4.33-18.el7.cloudlinux.13) ; des versions alt-php ELS de CloudLinux/TuxCare pour 5.2 à 8.5 (par exemple alt-php85 8.5.11-5 et alt-php82 8.2.34-7) ; sous Plesk, PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 plus Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 pour le PHP du panneau lui-même ; et des paquets de distribution pour AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu et Debian. Beaucoup de rétroportages conservent un ancien numéro de version : comparez la chaîne de build complète. Selon Bluehost, si la version affichée par phpinfo() correspond à une version listée ou est plus récente, le site est corrigé et rien n’est à faire ; les clients qui gèrent eux-mêmes un VPS ou un serveur dédié doivent lancer une mise à jour des paquets depuis le panneau, et les clients devant agir sont prévenus par e-mail. La mise à jour précédente (23:00 heure de l’Est le 21 octobre) indiquait que la majorité des serveurs étaient corrigés, avec des mesures d’atténuation maintenues pouvant limiter la taille des téléversements. Aucune date de fin n’est donnée.

Mettre à jour Bluehost suffit-il à corriger CVE-2026-109618 et CVE-2026-109619 ?

Seulement si la mise à jour contient un PHP corrigé. PHP2Shell est une faille de l’interpréteur PHP : ce qui compte, c’est le PHP sur lequel tourne Bluehost. Vérifiez la version après la mise à jour.

Quelles versions de PHP corrigent PHP2Shell ?

PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, publiées le 21 octobre 2026. PHP 8.1 et antérieur n’ont pas de version du projet PHP ; seuls des builds éditeur avec rétroportage (ou un correctif source compilé soi-même pour 7.4, 8.0 et 8.1) les corrigent.

Et si Bluehost n’a pas encore de correctif ?

Gardez son interface web basée sur PHP hors d’Internet (VPN ou liste d’IP), appliquez les réglages provisoires de PHP comme la désactivation du session upload progress, et installez la mise à jour de l’éditeur dès sa sortie. Les réglages provisoires réduisent le risque mais ne corrigent pas.

← Tous les produits qui embarquent PHP

Voir aussi : Correctif par plateforme · Versions affectées · État des éditeurs

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

Synthèse non officielle de sources publiques. Ce site n’est affilié ni à l’éditeur ni au projet PHP et n’héberge aucun code d’exploitation.