Le 21 octobre 2026, l'équipe de développement de PHP a publié des correctifs pour deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619 et surnommées PHP2Shell. Le CERT-FR a émis une alerte dans la foulée. Depuis, une question revient chez les dirigeants qui ont un site web : « Est-ce que je suis concerné ? »
Si votre site est construit avec Odoo, la réponse est non. Voici pourquoi, couche par couche, et ce qu'il faut tout de même vérifier.
La faille en bref
Les deux failles touchent le cœur de PHP, le langage qui fait tourner une grande partie des sites web. Elles permettent, dans certaines configurations, d'exécuter du code à distance sur le serveur sans aucune authentification. Selon les analyses publiées, une seule requête bien construite peut déclencher l'attaque avant même que le code du site ne s'exécute.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les branches plus anciennes (5.x, 7.x, 8.0 et 8.1) ne sont plus maintenues officiellement : les serveurs qui les utilisent doivent migrer ou obtenir un correctif auprès de leur distribution ou de leur hébergeur.
Quelles plateformes reposent sur PHP ?
| Plateforme | Langage côté serveur | Concernée par PHP2Shell |
|---|---|---|
| WordPress et WooCommerce | PHP | Oui |
| PrestaShop | PHP (framework Symfony) | Oui |
| Magento (Adobe Commerce) | PHP | Oui |
| Shopify | Ruby (Ruby on Rails), hébergé par l'éditeur | Non |
| Odoo | Python | Non |
Être concerné ne veut pas dire être piraté. Cela veut dire que le serveur doit être mis à jour sans attendre, par vous, votre agence ou votre hébergeur.
La stack technique d'un site Odoo, couche par couche
Un site Odoo n'est pas un logiciel posé à côté de l'ERP : c'est un module de l'ERP. Les pages, les produits, les formulaires et le CRM partagent la même application et la même base de données. Voici ce qui tourne à chaque étage.
Dans le navigateur du visiteur. HTML, CSS (avec le cadre Bootstrap) et JavaScript. Les composants interactifs sont écrits avec OWL, le cadre JavaScript développé par Odoo.
Pour construire les pages. QWeb, le moteur de gabarits d'Odoo. Il assemble les pages côté serveur à partir des données de l'ERP : un prix modifié dans Odoo est le prix affiché sur le site.
Sur le serveur applicatif. Python. C'est le langage de tout Odoo, de la comptabilité à la boutique en ligne. Le serveur web intégré s'appuie sur Werkzeug, une bibliothèque Python.
Pour les données. PostgreSQL, une base de données libre reconnue pour sa robustesse.
En frontal. Le plus souvent un serveur Nginx, qui gère le certificat HTTPS et transmet les requêtes à Odoo. Nginx n'exécute pas de PHP par lui-même.
L'hébergement. Trois cas : Odoo Online et Odoo.sh, gérés par l'éditeur, ou un serveur dédié géré par votre intégrateur ou votre équipe.
À aucun étage PHP n'intervient. La faille PHP2Shell n'a donc pas de prise sur un site Odoo.
Ce que cela ne veut pas dire
Odoo n'est pas invulnérable. Aucune technologie ne l'est. Odoo publie régulièrement ses propres correctifs de sécurité, et une instance qui n'est pas maintenue à jour prend d'autres risques. Choisir une technologie, c'est choisir les failles que l'on aura à surveiller, pas s'en affranchir.
Surtout, un site Odoo peut cohabiter avec du PHP sans que vous le sachiez. C'est le cas quand le même serveur héberge aussi :
- un ancien site WordPress jamais supprimé ;
- un blog ou une page d'atterrissage montée à part ;
- un outil d'administration ou de statistiques écrit en PHP ;
- un script de formulaire ou de connecteur développé il y a des années.
Dans ce cas, le site Odoo n'est pas touché, mais le serveur l'est. Et un attaquant qui prend la main sur un serveur peut atteindre tout ce qui s'y trouve.
Quatre vérifications pour un dirigeant
1. Demandez la liste de ce qui tourne sur vos serveurs
Pas seulement le site principal : tout ce qui est hébergé au même endroit.
2. Repérez le PHP
Votre prestataire peut répondre en quelques minutes. S'il y en a, demandez la version et la date de la dernière mise à jour.
3. Demandez qui est responsable des mises à jour
Pour chaque brique, un nom et un délai. « L'hébergeur s'en occupe » doit être vérifié, pas supposé.
4. Supprimez ce qui ne sert plus
Un ancien site oublié est la porte d'entrée la plus fréquente. Ce qui n'existe plus ne peut plus être attaqué.
En résumé
Les sites sous WordPress, WooCommerce, PrestaShop ou Magento doivent être mis à jour sans attendre. Les sites sous Shopify et sous Odoo ne sont pas concernés par cette faille. Mais la vraie protection ne tient pas au langage : elle tient à la connaissance précise de ce qui tourne sur vos serveurs et à la discipline de mise à jour.
Choisir une technologie, c'est aussi choisir les failles que l'on aura à gérer.
Sources
- CERT-FR, alerte CERTFR-2026-ALE-014 « Multiples vulnérabilités dans PHP »
- Help Net Security, « PHP2Shell: Critical PHP vulnerabilities patched » (21/10/2026)
Et maintenant ?
Vous avez un site sous Odoo ou vous envisagez d'y migrer, et vous voulez savoir ce qui tourne réellement autour ? Écrivez-moi : nous faisons le point sur votre stack et vos serveurs, sans jargon.