Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité qui corrigent deux failles critiques. Elles peuvent permettre l’exécution de code à distance sans authentification : en clair, un attaquant pourrait chercher à faire exécuter des instructions sur un serveur vulnérable sans disposer d’un compte sur le site. L’alerte concerne PHP lui-même, et donc toutes les applications web qui s’appuient dessus, pas seulement WordPress.
Pour une PME, la première étape n’est pas de lancer au hasard une mise à jour WordPress ou de changer immédiatement toute la configuration du site. Il faut identifier la version de PHP réellement utilisée par l’hébergement, demander à l’hébergeur si le correctif a été déployé, puis planifier une mise à niveau adaptée. Voici une méthode concrète pour vérifier vos sites et agir sans confondre la sécurité de PHP avec celle du CMS.
Comprendre l’alerte : PHP est concerné, pas uniquement WordPress
Deux failles corrigées dans les versions de PHP
Le projet PHP a publié des versions corrigées le 21 octobre 2026 : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’avis officiel décrit deux vulnérabilités critiques susceptibles de conduire à une exécution de code à distance. Il recommande aux utilisateurs de PHP de mettre à jour immédiatement les installations concernées. La gravité justifie une réaction rapide, mais le bon correctif doit être appliqué au bon niveau : celui du serveur ou de l’hébergement PHP.
Un site WordPress est une application PHP. Il n’est toutefois pas le seul type de site exposé : boutiques en ligne, applications métier, autres CMS et scripts PHP hébergés sur le même serveur sont aussi concernés. Le risque dépend notamment de la version installée et de la manière dont PHP est exécuté par l’hébergement. Il ne faut donc pas déduire qu’un site est protégé simplement parce qu’il utilise WordPress, un pare-feu ou un plugin de sécurité.
Une mise à jour WordPress ne corrige pas PHP
WordPress a précisé que ces vulnérabilités ne sont pas propres à son logiciel et qu’aucune mise à jour de WordPress n’est nécessaire pour les corriger. Cela ne signifie pas qu’il faut ignorer les mises à jour du CMS : les correctifs WordPress restent importants pour d’autres problèmes de sécurité. Mais ils ne remplacent pas la mise à jour de l’environnement PHP.
Retenez cette distinction simple : WordPress se met à jour dans l’administration du site ; PHP se met à jour dans la configuration du serveur ou par l’intermédiaire de l’hébergeur. Mettre à jour WordPress, un thème ou un plugin ne suffit donc pas à éliminer ces failles si l’hébergement continue d’exécuter une version vulnérable de PHP.
Vérifier la version PHP de chaque site
Contrôler depuis l’administration WordPress
La méthode la plus directe est indiquée par WordPress : connectez-vous à l’administration, puis ouvrez Outils > Santé du site > Informations > Serveur. La version PHP utilisée par le site apparaît dans les informations du serveur. Selon la langue et la version de l’interface, les intitulés peuvent légèrement varier.
Notez la version complète, et pas seulement le numéro principal. Par exemple, « 8.3 » ne permet pas de savoir si le site utilise la version corrigée 8.3.36 ou une version antérieure. Pour savoir si le correctif est présent, comparez la version affichée à l’avis officiel de PHP ou demandez à l’hébergeur de confirmer précisément la version installée et son statut de mise à jour.
Vérifier aussi le panneau d’hébergement
De nombreux hébergeurs affichent la version PHP dans leur panneau de gestion. Cet écran peut aussi permettre de choisir une version, d’activer une version différente pour un domaine ou de consulter les réglages du serveur. Vérifiez bien le domaine concerné : un même compte d’hébergement peut contenir plusieurs sites et les réglages ne sont pas toujours identiques.
Si vous gérez plusieurs sites clients, consignez les résultats dans un tableau partagé. Ajoutez au minimum le nom du site, le domaine, l’hébergeur, la version PHP observée, la date du contrôle, la personne responsable et la réponse de l’hébergeur. Cette démarche évite les oublis et aide à prioriser les sites les plus anciens ou les plus importants pour l’activité.
- Version corrigée : l’hébergeur confirme que le correctif applicable est déployé ; consignez sa confirmation et testez le site.
- Version antérieure à la version corrigée : contactez rapidement l’hébergeur pour demander la mise à jour ou une solution de réduction du risque.
- Version de PHP ancienne ou non prise en charge : demandez un plan de migration vers une branche maintenue et sécurisée.
- Version inconnue : demandez à l’hébergeur de vérifier la version réellement utilisée par le site, y compris les éventuels processus PHP associés.
Contacter l’hébergeur avec les bonnes questions
Un message prêt à envoyer
Si vous n’administrez pas directement le serveur, ne tentez pas d’installer vous-même un paquet PHP ou de modifier des paramètres système. Adressez-vous au support technique de l’hébergeur, qui peut confirmer si le correctif a été installé, appliquer la mise à jour ou vous orienter vers la procédure prévue dans son offre.
Vous pouvez envoyer un message de ce type : « Bonjour, notre site [nom de domaine] utilise PHP selon l’écran Santé du site / votre panneau d’hébergement. Pouvez-vous confirmer la version PHP réellement utilisée pour ce domaine et indiquer si le correctif de sécurité publié le 21 octobre 2026 est installé ? Si une action de notre part est nécessaire, merci de nous indiquer la version corrigée recommandée, la procédure, les éventuels risques de compatibilité et la possibilité de revenir temporairement à la configuration précédente. »
Demandez également si l’hébergeur applique un correctif rétroporté par son fournisseur. Certains environnements, notamment les distributions Linux ou offres d’hébergement gérées, peuvent recevoir des corrections adaptées sans afficher exactement le numéro de version publié par le projet PHP. Il faut alors obtenir une confirmation explicite du fournisseur ; un simple « tout est à jour » ne permet pas toujours de savoir quel serveur ou quel domaine est couvert.
Un pare-feu ne remplace pas le correctif
L’hébergeur peut installer des règles de pare-feu applicatif (WAF) ou d’autres mesures de réduction du risque. Elles peuvent contribuer à limiter certaines attaques, mais elles ne doivent pas être confondues avec le correctif PHP. Le projet PHP indique que l’installation mise à jour constitue la solution complète et que les mesures temporaires ne rendent pas une installation vulnérable sûre. Demandez donc à la fois ce qui a été mis en place à court terme et quand le correctif définitif sera appliqué.
Planifier la mise à niveau sans casser le site
Préparer une migration contrôlée
Une mise à jour vers une version corrigée de la branche actuellement utilisée est généralement le premier point à clarifier avec l’hébergeur. En revanche, passer à une branche plus récente peut demander des vérifications : extensions WordPress, thème, code personnalisé et outils connectés peuvent dépendre de comportements PHP particuliers. La prudence ne doit pas conduire à repousser indéfiniment le correctif ; elle doit guider la préparation d’une intervention rapide et vérifiable.
- Faites une sauvegarde vérifiable. Assurez-vous qu’une copie récente des fichiers et de la base de données existe, et vérifiez que la procédure de restauration est connue.
- Demandez un environnement de test. Si l’hébergement le permet, reproduisez le site sur une version de préproduction et testez-y la version PHP envisagée.
- Repérez les dépendances sensibles. Dressez la liste des extensions, du thème, des développements spécifiques et des intégrations indispensables, puis vérifiez leurs exigences.
- Planifiez le changement. Convenez avec l’hébergeur d’un créneau et d’un interlocuteur joignable, particulièrement si le site gère des commandes, des réservations ou des demandes de contact.
- Contrôlez après intervention. Vérifiez la version PHP, les pages principales, les formulaires, la connexion à l’administration et, pour un site marchand, le parcours de commande.
Si vous n’avez pas d’environnement de test, faites au minimum une sauvegarde exploitable, demandez au support de préciser la procédure de retour arrière et prévoyez une vérification immédiate après le changement. Les sites qui assurent une activité essentielle méritent un suivi rapproché : une page d’accueil accessible ne garantit pas que toutes les fonctions métier sont opérationnelles.
Ne pas confondre urgence et migration improvisée
L’alerte recommande une mise à jour rapide, mais ne signifie pas qu’il faut sélectionner la version la plus récente affichée dans un menu sans vérifier la compatibilité. Distinguez deux opérations : appliquer le correctif de sécurité à la branche PHP concernée et migrer éventuellement vers une autre branche maintenue. La première répond à l’exposition immédiate ; la seconde s’inscrit dans la gestion durable de l’hébergement.
Au 21 octobre 2026, PHP 8.2.35 figure parmi les versions corrigées, mais la branche PHP 8.2 doit arriver en fin de support le 31 décembre 2026. Une mise à jour vers 8.2.35 peut donc corriger l’incident présent sans constituer un plan à long terme. Pour les versions antérieures à PHP 8.2, le projet PHP indique qu’elles ne reçoivent plus de mises à jour de sécurité de sa part ; certains fournisseurs peuvent toutefois proposer des correctifs rétroportés. Faites confirmer la situation exacte par votre hébergeur et préparez une migration vers une version prise en charge.
Encadré pratique — votre contrôle en 15 minutes
Pour chaque site : ouvrez Santé du site, relevez la version PHP complète, vérifiez le panneau d’hébergement, envoyez une demande écrite au support si le correctif n’est pas confirmé, puis inscrivez une date de contrôle dans votre suivi. Si le site tourne sur une branche ancienne ou non maintenue, traitez-le comme une priorité de migration et demandez sans attendre un plan à l’hébergeur.
Organiser la sécurité de vos sites WordPress dans la durée
Faire un inventaire plutôt que réagir au coup par coup
Cette alerte est une bonne occasion de formaliser un suivi qui servira lors des prochaines vulnérabilités. Pour chaque site client, conservez les coordonnées de l’hébergeur, la version de PHP, la version de WordPress, les extensions essentielles, la date de la dernière sauvegarde et le responsable des mises à jour. Ajoutez un rappel périodique pour vérifier les versions et les dates de fin de support des composants.
La sécurité repose sur plusieurs couches : PHP, WordPress, extensions, thème, serveur, sauvegardes et accès administrateurs. Aucun plugin ne remplace les mises à jour de l’hébergement, et un hébergement corrigé ne dispense pas de maintenir WordPress et ses extensions. Pour structurer cette maintenance, consultez nos services web, découvrez la création de sites web ou contactez notre équipe pour discuter de votre situation.
Si votre équipe souhaite mieux administrer son site, la formation WordPress : créer et gérer un site professionnel peut aider à comprendre les opérations courantes et à organiser les contrôles. Pour une intervention ou un accompagnement, vous pouvez aussi contacter Enovatic.
Conclusion : vérifiez PHP, puis faites confirmer le correctif
Les deux failles annoncées le 21 octobre 2026 sont des vulnérabilités de PHP, non un défaut propre à WordPress. Le contrôle prioritaire consiste donc à relever la version PHP réellement utilisée, à obtenir une confirmation de l’hébergeur sur l’installation du correctif, puis à tester le site après toute modification. Pour une version ancienne, le sujet dépasse le correctif immédiat : il faut prévoir une migration et vérifier les conséquences pour le site.
Ne vous contentez pas d’une mise à jour WordPress et ne supposez pas qu’un pare-feu suffit. Une demande claire au fournisseur, un inventaire des sites et une procédure de test vous permettront d’agir rapidement tout en maîtrisant le risque d’interruption. Pour faire le point sur votre site ou planifier une mise à niveau, parlez-en à Enovatic.
Questions fréquentes
Dois-je mettre à jour WordPress pour corriger ces deux failles PHP ?
Non. Les vulnérabilités sont dans PHP, et WordPress indique qu’aucune mise à jour du CMS n’est nécessaire pour les corriger. Il reste important d’installer séparément les mises à jour WordPress disponibles pour traiter leurs propres corrections de sécurité.
Comment savoir si mon hébergeur a déjà installé le correctif ?
Relevez la version PHP dans Santé du site ou dans le panneau d’hébergement, puis demandez au support de confirmer que le correctif applicable est déployé pour votre domaine. Certains fournisseurs peuvent appliquer des correctifs adaptés sans utiliser exactement le numéro de version amont : demandez une confirmation explicite.
Mon site utilise PHP 8.1 ou une version plus ancienne : que faire ?
Contactez immédiatement l’hébergeur pour connaître les mesures disponibles, notamment l’existence éventuelle d’un correctif rétroporté, et demandez un calendrier de migration vers une branche prise en charge. Le projet PHP précise que PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour de sa part. Si vous gérez vous-même le serveur, évaluez avec un professionnel les mesures temporaires et la réduction d’exposition pendant la préparation de la mise à niveau.
Une mise à jour PHP peut-elle rendre mon site WordPress incompatible ?
Une mise à niveau peut révéler des incompatibilités dans une extension, un thème ou du code personnalisé, surtout si elle implique un changement de branche PHP. C’est pourquoi il est utile de sauvegarder le site, de tester les fonctions essentielles et de convenir d’une procédure de retour arrière avec l’hébergeur. Cela ne justifie pas de laisser sans réponse un correctif de sécurité urgent.
Un pare-feu ou un plugin de sécurité suffit-il en attendant ?
Non. Un WAF peut réduire certains risques, mais ne remplace pas la mise à jour du moteur PHP. Demandez à l’hébergeur quelles mesures temporaires sont actives et quand le correctif sera effectivement installé.
Sources
- wordpress.org — https://wordpress.org/news/2026/10/critical-php-security-release/
- www.php.net — https://www.php.net/
- www.php.net — https://www.php.net/supported-versions.php
Besoin d’un accompagnement sur mesure ?
Nos experts en design, développement web et référencement accompagnent les entreprises belges au quotidien. Découvrez nos services de création de site web, nos formations professionnelles et nos réalisations.
Contactez-nous pour un devis gratuit.
Photo d'illustration : Rohan sur Unsplash.
