Baromètre · contrôle du 31 octobre 2026
Faille PHP2Shell : où en sont les sites de mairies ?
Nous avons contrôlé 21 212 sites de mairies françaises, et 18 884 ont répondu. Voici ce qu'un contrôle extérieur a pu conclure. Aucune commune n'est citée.
- Exposés
- 8,0 %1 508 sites joignables
- À vérifier
- 43,0 %8 124 sites joignables
- Version corrigée
- 6,2 %1 174 sites joignables
- PHP non détecté
- 42,8 %8 078 sites joignables
Comment lire ces chiffres
Le nombre réel de sites exposés reste inconnu
1 508 est ce que l'on peut observer de l'extérieur : un site est classé exposé quand son serveur affiche une version de PHP sans correctif officiel, hors paquet de distribution, ou antérieure au correctif de sa branche. Pour 8 124 sites, le contrôle n'a pas permis de conclure : ils ne sont ni sains ni exposés, ils restent à vérifier.
En PHP 8.1 ou antérieur
Sans correctif officiel. Cela représente 36 % des 4 130 sites dont la version est lisible, et non un tiers des mairies.
Encore en PHP 5
Soit 7 % des 4 130 sites dont la version est lisible.
Sous WordPress
Soit 45 % des sites joignables. Parmi eux, 999 sont classés exposés (11,8 %) et 7 173 restent à vérifier (84,5 %).
Le détail
Les versions de PHP affichées
| Branche de PHP | Sites | Part |
|---|---|---|
| 8.1 et antérieures : sans correctif officiel | 1 488 | 36,0 % |
| 5.2 à 5.6 | 287 | 6,9 % |
| 7.0 à 7.3 | 336 | 8,1 % |
| 7.4 | 580 | 14,0 % |
| 8.0 | 126 | 3,1 % |
| 8.1 | 159 | 3,8 % |
| 8.2 à 8.5 : correctif disponible | 2 642 | 64,0 % |
| 8.2 | 392 | 9,5 % |
| 8.3 | 560 | 13,6 % |
| 8.4 | 1 290 | 31,2 % |
| 8.5 | 400 | 9,7 % |
Une branche récente n'est pas forcément corrigée : le correctif arrive avec PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Méthode et limites
Comment nous avons mesuré
- Liste : annuaire de l'administration (service-public.fr), export du 31 octobre 2026, sites dédoublonnés par nom de domaine.
- Contrôle : une requête passive par site, avec lecture des en-têtes et de la page d'accueil. Aucune tentative d'exploitation.
- Base : 2 328 sites n'ont pas répondu ou ont refusé la requête. Les pourcentages portent sur les 18 884 sites joignables, sauf mention contraire.
- Limites : « PHP non détecté » ne prouve pas l'absence de PHP. Une version de distribution peut avoir reçu le correctif. Il s'agit d'une photographie à une date donnée.
Et votre site web ?
Testez-le gratuitement, sans inscription ni e-mail. Pour aller plus loin, voir les offres.