Deux vulnérabilités critiques découvertes dans PHP ont déclenché une alerte de sécurité internationale qui concerne des sites web, des boutiques en ligne et des applications hébergées sur des serveurs du monde entier. Ces failles, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, peuvent permettre à un attaquant d’exécuter du code malveillant à distance sans avoir à s’authentifier.
Le 21 octobre 2026, les responsables de PHP ont publié des mises à jour d’urgence pour corriger ces deux problèmes. Si vous possédez un site créé avec WordPress ou un autre système utilisant PHP, il est conseillé de vérifier la version installée et de vous assurer que votre hébergeur a appliqué les correctifs.
Que s’est-il passé avec PHP et pourquoi est-ce si grave ?
PHP est l’un des langages de programmation les plus utilisés pour créer des sites web dynamiques. Il est présent dans des systèmes comme WordPress, Joomla ou Drupal, ainsi que dans de nombreuses applications développées sur mesure.
Contrairement au HTML ou au CSS, PHP s’exécute sur le serveur qui héberge le site. Il peut notamment traiter des formulaires, accéder à des bases de données ou générer du contenu avant de l’envoyer au navigateur du visiteur.
Les deux vulnérabilités découvertes touchent au fonctionnement interne de PHP. Selon l’avis de sécurité officiel, un attaquant pourrait exploiter certaines erreurs dans le traitement des requêtes pour exécuter des instructions non autorisées sur un serveur vulnérable.
La gravité de ces failles a conduit des organismes européens à recommander des mises à jour immédiates. Certaines administrations et organisations ont même temporairement déconnecté leurs services par mesure de précaution.
Cela ne signifie pas que tous les sites créés avec PHP ont été attaqués, mais les installations vulnérables doivent être vérifiées au plus vite.
Comment savoir si votre site web utilise PHP
La première étape consiste à identifier la technologie sur laquelle repose votre site.
Si vous utilisez WordPress, Joomla, Drupal ou une application développée en PHP, votre site dépend de ce langage. Cela ne signifie toutefois pas automatiquement qu’il est mal protégé : la version installée et les mises à jour de sécurité appliquées sur le serveur comptent également.
Si vous ne savez pas quelle technologie utilise votre site, vous pouvez consulter la documentation de votre hébergement ou interroger l’entreprise qui l’a développé.
Il existe aussi des outils qui tentent d’identifier les technologies d’un site depuis Internet, même si leurs résultats ne sont pas toujours concluants. Par ailleurs, il n’est pas possible de confirmer de manière fiable qu’un serveur présente ces vulnérabilités simplement en visitant le site qu’il héberge.
Comment vérifier la version de PHP dans WordPress
Si vous avez accès au tableau de bord d’administration de WordPress, vous pouvez consulter la version de PHP sans installer d’extension supplémentaire.
Voici les étapes à suivre :
- Accédez à l’administration de WordPress, généralement à l’adresse
tudominio.com/wp-admin. - Dans le menu latéral, ouvrez Outils.
- Sélectionnez Santé du site.
- Ouvrez l’onglet Informations.
- Dépliez la section Serveur.
- Repérez le champ Version de PHP.
Vous y trouverez un numéro semblable à 8.3.35 ou 8.4.26. Notez-le pour le comparer aux versions corrigées.
Si vous ne trouvez pas cette information, vous pouvez également consulter le panneau de gestion de votre hébergeur, qui peut utiliser des outils comme cPanel, Plesk ou un autre système d’administration.
Gardez à l’esprit que WordPress affiche la version utilisée par le site, mais n’indique pas nécessairement si l’hébergeur a intégré des correctifs de sécurité supplémentaires.
Quelles versions de PHP sont concernées ?
L’équipe de développement de PHP a publié le 21 octobre 2026 les versions corrigées suivantes :
| Version de PHP | Version minimale corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Par exemple, une installation utilisant PHP 8.3.35 est antérieure à la mise à jour de sécurité officielle. Pour cette branche, la version corrigée est PHP 8.3.36.
PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour régulières du projet PHP. Toutefois, certains fournisseurs de systèmes d’exploitation et de services de support prolongé publient leurs propres correctifs pour les anciennes versions.
Si vous utilisez une version antérieure à celles indiquées, vous ne devez donc pas supposer qu’elle est protégée ni qu’elle est nécessairement vulnérable sans vérifier les correctifs du fournisseur.
Vous pouvez consulter les versions publiées sur le site officiel de PHP.
Que faire si votre site utilise une version vulnérable ?
Si vous découvrez que votre site fonctionne avec une version de PHP antérieure à la version corrigée et que vous n’avez pas la confirmation qu’un correctif a été appliqué, il est important d’agir rapidement.
1. Contactez votre hébergeur. Demandez si votre serveur est concerné par les vulnérabilités CVE-2026-109618 et CVE-2026-109619 et si les mises à jour correspondantes ont déjà été installées.
2. Effectuez une sauvegarde. Avant de modifier l’environnement, assurez-vous de disposer d’une copie récente des fichiers et de la base de données. Il est recommandé de vérifier qu’elle peut être restaurée.
3. Mettez PHP à jour vers une version corrigée. Si vous gérez le serveur, vous devrez installer les paquets de sécurité correspondants. Si vous utilisez un hébergement mutualisé, l’hébergeur peut s’en charger ou vous permettre de sélectionner la version depuis son panneau de gestion.
4. Vérifiez le fonctionnement du site. Contrôlez les principales sections, les formulaires, la connexion des utilisateurs et, si vous avez une boutique en ligne, le parcours d’achat.
5. Demandez un contrôle technique si vous soupçonnez une attaque. L’installation d’une mise à jour empêche l’exploitation des failles corrigées, mais ne supprime pas automatiquement les éventuelles modifications malveillantes effectuées auparavant.
Mon site peut-il cesser de fonctionner après une mise à jour de PHP ?
Oui. Même si maintenir PHP à jour est essentiel pour la sécurité, passer d’une ancienne version à une version plus récente peut entraîner des problèmes de compatibilité.
Cela se produit notamment sur les sites utilisant des thèmes, des extensions ou des développements sur mesure qui n’ont pas été mis à jour depuis longtemps.
Par exemple, après un changement de version de PHP, des erreurs peuvent apparaître dans les formulaires de contact, les fonctionnalités d’une boutique en ligne ou les composants reposant sur du code ancien. Dans les cas les plus graves, le site peut ne plus se charger correctement.
C’est pourquoi, lorsque c’est possible, il est conseillé de tester d’abord le changement dans un environnement de test et de vérifier la compatibilité des composants installés.
Ces risques ne justifient toutefois pas de conserver indéfiniment un serveur vulnérable. Si le changement nécessite d’adapter le site, la bonne démarche consiste à coordonner la mise à jour de sécurité avec les modifications nécessaires.
Que faire si je n’ai pas accès au serveur de mon site ?
Dans de nombreux cas, le propriétaire d’un site web n’administre pas directement le serveur qui l’héberge. Cette responsabilité incombe souvent à l’hébergeur ou au prestataire informatique.
Si vous êtes dans cette situation, vous pouvez lui envoyer un message comme celui-ci :
« Bonjour, je souhaiterais savoir si le serveur qui héberge mon site web est protégé contre les vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619, publiées en octobre 2026. Pourriez-vous m’indiquer quelle version de PHP nous utilisons et si les correctifs de sécurité nécessaires ont déjà été appliqués ? »
La réponse devrait vous permettre de savoir si votre hébergement est à jour ou si une intervention est nécessaire.
Il ne suffit pas de vérifier que le site s’affiche correctement. Un site peut fonctionner normalement tout en présentant des vulnérabilités de sécurité.
Tous les sites WordPress sont-ils en danger ?
Pas nécessairement. WordPress utilise PHP, mais une installation disposant déjà des correctifs de sécurité correspondants n’est pas exposée à ces deux failles connues.
Par ailleurs, mettre à jour WordPress, ses extensions ou ses thèmes ne revient pas à mettre à jour PHP. Il s’agit de composants différents, et la maintenance du serveur doit être vérifiée séparément.
L’alerte ne signifie pas non plus que tous les serveurs vulnérables ont été compromis. Elle signale un risque de sécurité qui exige une réaction rapide.
Comment protéger durablement votre site web
La publication de ces vulnérabilités rappelle que la sécurité d’un site ne dépend pas uniquement de la mise à jour de son système de gestion de contenu. Il faut également prêter attention aux logiciels qui fonctionnent sur le serveur.
Vérifier régulièrement la version de PHP, utiliser des composants compatibles, conserver des sauvegardes et maintenir un dialogue régulier avec son hébergeur sont des mesures importantes.
Dans ce cas précis, la recommandation des responsables de PHP et des autorités de cybersécurité est particulièrement claire : appliquer au plus vite les correctifs officiels et vérifier que les services continuent de fonctionner correctement.
Si vous avez un doute sur la version installée, commencez par consulter le panneau d’administration de votre site ou par contacter votre hébergeur. Inutile d’attendre qu’une erreur apparaisse pour vérifier si votre site est protégé.
