Votre site tourne sous PHP : ce qu'il faut vérifier après une faille critique

Le 21 octobre 2026, l'équipe de sécurité de PHP a publié des correctifs pour deux failles critiques. PHP est le langage sur lequel tournent WordPress et une grande partie des sites d'entreprise. Si le vôtre en fait partie, voici ce que ça veut dire, sans jargon, et les vérifications à faire cette semaine.

Ce qui s'est passé

Le projet PHP a annoncé deux vulnérabilités notées 9,2 sur 10 en gravité. D'après l'avis du CERT-EU et l'alerte de la CISA, elles peuvent permettre l'exécution de code à distance sans authentification. Le CERT-EU indique aussi que des preuves de concept ont commencé à circuler : mieux vaut donc ne pas attendre.

Concrètement, cela veut dire qu'une personne mal intentionnée pourrait, dans le pire des cas, faire exécuter des commandes sur le serveur qui héberge un site non corrigé. C'est pour cette raison que la recommandation générale est simple : mettre à jour PHP et redémarrer le service.

Votre site est-il concerné ?

Il l'est si votre site fonctionne avec PHP. C'est le cas de :

• WordPress, PrestaShop, Joomla, Drupal ;
• la plupart des sites développés sur mesure en PHP ;
• les espaces d'administration ou les formulaires de contact écrits en PHP.

Si vous ne savez pas avec quoi votre site est construit, la question à poser est : « sur quelle version de PHP tourne mon site ? ». Votre hébergeur, votre agence ou la personne qui l'a créé doit pouvoir répondre.

Les 4 vérifications à faire

1. Connaître la version de PHP. Dans l'espace client de votre hébergeur, la rubrique de configuration PHP l'indique. Sur WordPress, la page « Outils > Santé du site », onglet « Info », affiche la version du serveur.
2. La comparer aux versions corrigées. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions 8.1 et antérieures ne sont plus suivies par le projet PHP : elles sont concernées par les failles, et il faut migrer vers une version prise en charge.
3. Demander la mise à jour. Sur un hébergement mutualisé, demandez à votre hébergeur si le correctif est déployé : c'est lui qui gère PHP. Sur un serveur dédié ou un VPS, c'est à vous ou à votre prestataire de mettre à jour, puis de redémarrer PHP.
4. Mettre à jour le reste. WordPress, thèmes et extensions : une faille dans PHP n'est pas la seule porte d'entrée, et un site à jour est un site plus difficile à attaquer.

Si la mise à jour ne peut pas se faire tout de suite, le CERT-EU rappelle que seule la mise à jour corrige vraiment les failles. Des réglages (limiter la taille des requêtes acceptées, par exemple) réduisent le risque sans le supprimer : ils se font sur le serveur lui-même, pas depuis le site, donc ils relèvent de votre hébergeur ou de la personne qui gère votre serveur. En attendant, la CISA recommande de mettre hors ligne ce qui ne peut pas être corrigé, et indique qu'un pare-feu applicatif peut offrir une protection partielle.

Que faire en cas de doute ?

Si vous avez un doute sur l'état de votre site, ou si quelque chose vous paraît anormal (fichiers que vous ne reconnaissez pas, pages modifiées, messages bizarres) :

• changez les mots de passe de l'hébergement, du site, du FTP et de la messagerie ;
• regardez la date de modification de vos fichiers : un fichier récent que personne n'a envoyé est suspect ;
• contactez votre hébergeur et la personne qui gère votre site ;
• vérifiez que vous disposez d'une sauvegarde récente.

Un site qui reste à jour, c'est aussi un budget

Garder un site ou un outil à jour fait partie des coûts qui reviennent chaque année : maintenance, mises à jour de sécurité, hébergement. C'est ce qu'on oublie le plus souvent au moment de choisir. Pour situer ces montants, voir : combien coûte une application sur mesure. Et pour savoir par où commencer quand on veut remettre de l'ordre dans ses outils : digitaliser son entreprise dans le Var.

La suite

Je maintiens les sites et applications que je réalise, y compris leur version de PHP. Si vous voulez que je regarde la version et la configuration de votre site, écrivez-moi : je vous dis ce que j'observe et ce qu'il faut faire, sans jargon. Pour le détail de mes services : sites web et applications sur mesure. Le premier échange est gratuit et sans engagement.