Le 21 octobre, l'équipe PHP a publié en urgence un correctif pour deux failles critiques. Rien à voir avec un plugin exotique : c'est le moteur qui fait tourner WordPress, Joomla, Drupal et une bonne partie du web qui était concerné. Si votre site est en ligne, cet article vous concerne. Promis, on ne parle pas en hexadécimal.
Ce qui s'est passé, en version courte
PHP, c'est le langage qui fait tourner environ trois sites sur quatre dans le monde, dont tous les sites WordPress. Le 20 octobre, l'équipe de sécurité de PHP annonce une mise à jour critique pour le lendemain, après qu'une fuite d'informations sur Hacker News a forcé à avancer le calendrier. Le 21 octobre à 14h UTC, les versions corrigées sortent : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur 10 en gravité. En clair : une seule requête web, sans identifiant ni mot de passe, pouvait suffire à exécuter du code sur le serveur. Pas besoin de trouver un plugin vulnérable, pas besoin de casser un mot de passe : la porte était dans le moteur lui-même. Les chercheurs ont baptisé l'affaire "php2shell", ce qui donne une idée de l'ambiance.
Bonne nouvelle : au moment où nous écrivons ces lignes, aucune campagne d'attaque massive n'a été confirmée. Mauvaise nouvelle : les détails techniques sont publics depuis le 21 octobre au soir, et les attaquants lisent aussi les blogs de sécurité.
"Mon WordPress est à jour, je suis tranquille" : pas tout à fait
C'est le piège de cette affaire. Mettre à jour WordPress, vos thèmes et vos extensions ne change rien ici. WordPress lui-même n'a pas publié de mise à jour, et n'en prévoit pas : la faille n'est pas chez lui, elle est dans PHP, donc côté serveur. La correction se fait au niveau de l'hébergement.
Concrètement, trois situations :
Hébergement mutualisé (o2switch, OVH, Ionos, PlanetHoster...) : c'est l'hébergeur qui applique le correctif pour tout le monde. La plupart l'ont fait dans les 48 heures. Certains ont même coupé PHP quelques minutes le temps de patcher. Vérifiez quand même, on y revient plus bas.
Serveur dédié, VPS, cloud : personne ne le fera à votre place. Il faut installer les paquets PHP corrigés et redémarrer les services. Si vous ne savez pas ce que cette phrase veut dire, c'est le moment d'appeler la personne qui gère votre serveur.
Site vitrine "posé là" il y a quatre ans par un cousin : vous ne savez probablement ni où il est hébergé, ni en quelle version de PHP il tourne. C'est le cas le plus risqué, et c'est très courant.
Comment vérifier en deux minutes
Sur WordPress, allez dans Outils, puis Santé du site, onglet Infos, section Serveur : la version de PHP y est affichée. Si vous lisez 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou plus récent), c'est bon.
Si vous lisez un numéro inférieur, deux possibilités : soit l'hébergeur n'a pas encore patché, soit il a appliqué le correctif sans changer le numéro de version (certains hébergeurs font ça, et c'est légitime, mais ça rend la vérification impossible depuis votre tableau de bord). Dans le doute, un mail au support de l'hébergeur avec la question "avez-vous appliqué le correctif PHP du 21 octobre ?" suffit.
Si vous lisez 8.1, 8.0 ou 7.x, arrêtez-vous là et lisez la suite : votre problème est plus large que cette faille.
Le vrai sujet : PHP 8.2 s'arrête le 31 décembre
Chaque version de PHP a une durée de vie. Elle reçoit des nouveautés pendant deux ans, puis uniquement des correctifs de sécurité pendant deux ans, puis plus rien. PHP 8.1 est dans cette zone "plus rien" depuis le 31 décembre 2025 : la faille du 21 octobre n'a pas été corrigée officiellement pour lui. Et PHP 8.2 le rejoint le 31 décembre 2026, dans deux mois.
Autrement dit : si votre site tourne en PHP 8.2 aujourd'hui, il a bien reçu le correctif d'octobre, mais la prochaine faille de ce type, en janvier, restera ouverte. Un site en 8.1 ou moins est déjà dans cette situation. Et contrairement à une extension WordPress, PHP ne vous enverra jamais de notification "mise à jour disponible".
Passer à PHP 8.3 ou 8.4 se fait en général en un clic depuis le panneau de l'hébergeur. La vraie question est de savoir si votre site le supporte : un vieux thème ou une extension abandonnée peut casser au passage. D'où l'intérêt de tester sur une copie avant de basculer, plutôt que de découvrir une page blanche un lundi matin.
Ce qu'on retient
Mettre à jour WordPress ne suffit pas : la version de PHP se gère côté hébergement.
Vérifiez votre version de PHP aujourd'hui, et demandez à votre hébergeur s'il a appliqué le correctif du 21 octobre.
Si vous êtes en PHP 8.2 ou moins, planifiez le passage en 8.3 ou 8.4 avant la fin de l'année, en testant d'abord.
Mettez un rappel : la version de PHP se vérifie au moins une fois par an. Ou confiez cette surveillance à quelqu'un.
Et nous dans tout ça ?
C'est exactement le genre de semaine qui justifie un contrat de maintenance. Pour les sites que nous suivons, la vérification des versions PHP et des correctifs hébergeur fait partie du travail de fond, celui qu'on ne voit pas quand tout va bien. Si vous ne savez pas en quelle version tourne votre site, écrivez-nous : on vérifie, on vous dit où vous en êtes, et on vous explique ce qu'il faut faire. Sans jargon, promis.
