PHP2Shell : pourquoi les boutiques WhizzyCommerce ne sont pas touchées

PHP2Shell est le nom donné à deux failles dans PHP lui-même, CVE-2026-109618 et CVE-2026-109619, notées chacune 9,2 sur 10. Selon Sansec, toutes les versions de PHP depuis la 5.4 (2012) sont concernées, avec Apache mod_php comme avec PHP-FPM, dans leur configuration par défaut. L'attaque est une requête d'envoi de fichier fabriquée exprès, que PHP traite avant même que le code de la boutique ne démarre. Un Magento, WordPress ou Shopware parfaitement à jour est donc aussi exposé qu'un site laissé à l'abandon.

Deux choses aggravent la situation. Le mode maintenance n'aide pas, car PHP lit la requête avant que l'application ne le vérifie. Et en plus d'exécuter du code, la faille peut divulguer la mémoire de requêtes précédentes : mots de passe, sessions, clés d'API, voire clés privées TLS. L'avis officiel de PHP indique qu'il n'existe pas de parade complète et que la mise à jour est la seule vraie correction. Des attaques réelles ont été signalées en quelques heures.

WhizzyCommerce n'utilise pas PHP. Ni dans les boutiques, ni au paiement, ni dans le tableau de bord. Une faille dans le moteur PHP n'a rien sur quoi s'exécuter.

Vous n'avez rien à faire. Aucune mise à jour à installer, aucun réglage à changer, aucune clé à renouveler à cause de cela. Les serveurs, les mises à jour de sécurité et le logiciel derrière chaque boutique sont notre travail, et c'est tout l'intérêt d'une plateforme hébergée : la prochaine faille au niveau du moteur, quel que soit le langage, c'est à nous de la corriger, pas à vous.

1. 1

   Mettez PHP à jour maintenant

   Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mettre à jour Magento ou vos extensions ne suffit pas ; c'est PHP lui-même qui doit changer. Chez un hébergeur infogéré, demandez une confirmation écrite de la version.

2. 2

   Sous PHP 8.1 ou plus ancien, préparez le saut

   Les anciennes versions ne reçoivent aucun correctif. Cela implique souvent de mettre à jour le logiciel de la boutique aussi, alors commencez aujourd'hui et protégez le serveur entre-temps avec l'étape suivante.

3. 3

   En attendant, bloquez les envois au niveau du serveur web

   Sansec suggère de rejeter les requêtes multipart/form-data dans nginx ou Apache, ou de ne servir que GET et HEAD. Les deux cassent les formulaires et les envois de fichiers, alors testez le paiement ensuite. Activer le mode maintenance de l'application ne suffit pas.

4. 4

   Partez du principe que des secrets ont pu fuiter

   Si le serveur a fait tourner un PHP non corrigé depuis le 20 octobre, changez les mots de passe de la base de données et de l'admin, renouvelez les clés de paiement et d'API, et envisagez de remplacer le certificat TLS. Cherchez des fichiers PHP inconnus dans les dossiers accessibles en écriture comme pub/media.

5. 5

   Supprimez les restes

   Anciens scripts d'installation, outils de test et importateurs oubliés à la racine du site sont les premières choses qu'un attaquant appelle dès qu'il peut exécuter du code. Si vous avez utilisé notre connecteur Magento, vérifiez que pub/whizzy/import.php a bien été supprimé.

Beaucoup de marchands mettent PHP à jour cette semaine et décident que ce sera la dernière fois. Si c'est votre cas, voici à quoi ressemble un passage à WhizzyCommerce. Ensuite, plus de PHP à corriger, plus de serveur, plus de mises à jour de sécurité sur votre liste : cette partie est la nôtre.

Demandez sur quitter Magento, nous répondons sous un jour ouvré. Avant le déménagement, lisez comment quitter Magento sans perdre vos positions sur Google et, si votre version perd son support, la fin de vie de Magento 2.

• Fait pour vous, gratuitement. Pour les 100 premières boutiques qui quittent Magento, une personne de notre équipe s'occupe du déménagement, vérifie ce qui est arrivé et vous remet une boutique prête à ouvrir.
• Toute la boutique suit. Catégories, produits avec leurs variantes et photos, clients, commandes et promotions. Les clients choisissent un nouveau mot de passe à leur première connexion, et les commandes arrivent comme historique, sans rien à expédier ni à rembourser.
• D'abord un essai à blanc. L'importateur montre ce qu'il va reprendre avant d'écrire quoi que ce soit, et c'est un seul fichier sur votre Magento que vous supprimez ensuite.
• Vos positions Google restent. Les anciennes adresses des produits et catégories mènent aux nouvelles pages par des redirections 301, celles de Magento comprises.
• Gratuit tant que vous ne vendez pas. Pas d'abonnement sur l'offre Free ; vous ne payez qu'une petite commission quand une commande arrive.