Faille PHP : votre site WordPress est-il à jour ?
Deux failles graves viennent d'être corrigées dans PHP, le moteur qui fait tourner WordPress. Bonne nouvelle : le correctif existe. Reste à savoir si votre site l'a reçu, et ça se vérifie en deux minutes, sans être technicien.
Charlie
En 30 secondes
- Le problème : deux failles dans PHP permettaient de prendre la main sur un site à distance.
- Le correctif existe depuis le 21 octobre 2026. Le plus souvent, c’est votre hébergeur qui l’installe.
- Votre part : vérifier votre version de PHP. Deux minutes, expliquées plus bas.
Ce qui se passe, en clair
PHP, c’est le moteur de votre site. WordPress, votre thème et vos extensions tournent dessus, chez votre hébergeur. Vous ne le voyez jamais, et c’est normal.
Le 21 octobre, l’équipe qui développe PHP a corrigé deux failles notées 9,2 sur 10 en gravité (CVE‑2026‑109618 et CVE‑2026‑109619). Concrètement, quelqu’un pouvait faire exécuter ses propres instructions à votre serveur, sans aucun mot de passe : ajouter des pages, se créer un compte administrateur, cacher un programme malveillant.
Ce qui rend l’affaire sérieuse : les détails ont fuité avant la sortie du correctif. Les pirates en savent donc autant que les hébergeurs, et ce sont les sites restés sur une ancienne version qui les intéressent.
Pas de panique pour autant. La faille ne vient pas de vous, le correctif existe, et dans la plupart des cas votre hébergeur s’en charge. Votre rôle se limite à vérifier que c’est fait.
Vérifiez votre version en deux minutes
- Connectez-vous à l’administration de WordPress.
- Ouvrez Outils, puis Santé du site.
- Cliquez sur l’onglet Infos, puis dépliez Serveur : la ligne « Version de PHP » vous donne la réponse.
Votre site est protégé si sa version est au moins celle du tableau :
| Votre version commence par | Elle doit être au moins |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (et cette version n’est plus suivie après le 31 décembre 2026) |
| 8.1, 8.0, 7… | Plus aucun correctif : il faut changer de version |
Vous n’avez pas accès à l’administration du site ? Transférez cet article à la personne qui s’en occupe : c’est exactement ce qu’elle doit regarder.
Votre version n’est pas à jour ?
Votre site est sur un hébergement mutualisé (OVH, o2switch, IONOS…) : le correctif arrive par l’hébergeur. Si la version n’a pas bougé d’ici quelques jours, écrivez-lui pour lui demander quand il l’installe.
Votre site a son propre serveur (serveur dédié, VPS) : personne ne le fera à votre place. C’est à votre prestataire, ou à vous, d’installer la mise à jour.
Votre site tourne sous PHP 8.1 ou plus ancien : ces versions ne recevront jamais ce correctif. Il faut passer à une version récente, et c’est là que les choses se compliquent.
Changer de version sans casser le site
Je ne vais pas vous mentir : une extension abandonnée depuis des années ou un vieux thème fait sur mesure, et le passage à une version récente de PHP peut afficher une page blanche à la place de votre site.
Nous faisons donc ce passage sur une copie de votre site. On teste, on corrige ce qui doit l’être, et on ne bascule qu’une fois que tout fonctionne, avec un retour arrière possible. Comptez à partir de 340 € HT, soit une demi-journée. Demandez-nous un devis.
Les signes d’un site déjà visité
- Des pages ou des fichiers que personne chez vous n’a créés.
- Vos visiteurs renvoyés vers d’autres sites.
- Un avertissement de Google dans les résultats de recherche ou dans Chrome.
- Un compte administrateur que personne ne connaît.
Vous en reconnaissez un ? Ne supprimez rien : faites d’abord une copie du site, puis lisez notre page Site piraté, ou appelez-nous.
Et le reste de votre site ?
Une fois PHP à jour, la porte principale est refermée. Restent les fenêtres : la version de WordPress, les extensions et le thème. C’est par elles que passent la plupart des piratages de sites WordPress.
Notre analyse gratuite les passe en revue à partir de la seule adresse de votre site, et vous donne une note de A à E. Juste en dessous.
Source : avis de sécurité publié sur php.net, le 21 octobre 2026.