Faille critique dans PHP : mettez à jour votre site sans attendre

Le 21 octobre 2026, l’équipe qui développe PHP a publié un avis de sécurité d’une gravité inhabituelle : deux failles critiques peuvent permettre à un attaquant d’exécuter ses propres instructions sur un serveur, à distance, sans compte ni mot de passe. PHP fait tourner une grande partie des sites internet, dont ceux construits avec WordPress, PrestaShop, Joomla ou Drupal. La consigne de l’équipe PHP est claire : mettre à jour immédiatement. Nos serveurs le sont déjà, et nous pouvons faire de même pour votre site.

Ce qui se passe, en clair

PHP est le moteur qui fabrique les pages de votre site à chaque visite : il va chercher le contenu, l’assemble et l’envoie au navigateur du visiteur. Les deux failles corrigées (référencées CVE-2026-109618 et CVE-2026-109619) touchent ce moteur lui-même, pas un thème ni une extension. Elles permettent ce que les spécialistes appellent une exécution de code à distance : une personne qui n’a aucun accès à votre site pourrait lui faire exécuter ses propres commandes, simplement en lui envoyant une requête piégée.

L’équipe PHP précise que le risque est le plus élevé sur une configuration très répandue (Apache avec son module PHP intégré), pour laquelle une attaque a déjà été démontrée : la requête malveillante agit avant même que le code de votre site ne s’exécute. Autrement dit, un site bien entretenu, avec un WordPress ou un PrestaShop à jour et des extensions saines, reste exposé tant que PHP lui-même n’a pas été mis à jour.

Qui est concerné ?

D’après l’avis de sécurité, toutes les installations de PHP qui répondent à des visiteurs sur le web sont concernées, quelle que soit la façon dont le serveur est configuré. En pratique, cela vise notamment :

• votre site vitrine ou votre boutique en ligne, s’il repose sur WordPress, PrestaShop, Joomla, Drupal ou tout autre outil écrit en PHP ;
• vos applications accessibles depuis un navigateur (intranet, extranet, outil métier développé sur mesure) lorsqu’elles sont écrites en PHP ;
• les serveurs que vous administrez vous-même comme ceux qu’un prestataire gère pour vous.

Si votre site est chez un hébergeur, c’est généralement lui qui gère PHP. L’équipe PHP indique que les grandes distributions Linux ont reçu les correctifs en avance, ce qui devrait permettre aux hébergeurs de réagir vite. Cela vaut tout de même la peine de lui demander si la mise à jour a bien été appliquée sur votre hébergement.

Les anciennes versions de PHP, le vrai point de vigilance

Les correctifs sont disponibles pour les versions 8.2 à 8.5 de PHP, sous les numéros 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions 8.1 et plus anciennes ne reçoivent plus de mises à jour officielles. Vu la gravité de la situation, l’équipe PHP a exceptionnellement fourni des correctifs minimaux pour les versions 7.4, 8.0 et 8.1, mais ils s’adressent à ceux qui assemblent PHP eux-mêmes, et certains éditeurs proposent des correctifs adaptés. Pour la plupart des sites, la solution durable reste de passer à une version encore suivie.

C’est souvent là que les choses se compliquent : un site qui tourne encore sur une ancienne version de PHP y est rarement par hasard. Un thème, une extension ou un développement sur mesure bloque parfois la montée de version, et il faut alors l’adapter avant de basculer. C’est un chantier à anticiper, d’autant que PHP 8.2 arrivera lui-même en fin de vie le 31 décembre 2026.

Et en attendant la mise à jour ?

L’équipe PHP décrit quelques réglages qui réduisent l’exposition à certaines formes d’attaque, pour les serveurs qui ne peuvent pas être mis à jour tout de suite. Elle est cependant explicite : ces réglages ne rendent pas une installation sûre, et la mise à jour reste la seule vraie solution. Ils limitent le risque le temps d’agir, ils ne remplacent pas le correctif.

Nos serveurs sont à jour, et les vôtres ?

Chez IT1 Connect, nous avons appliqué les correctifs sur nos serveurs. Nous pouvons faire de même pour les vôtres : vérifier la version de PHP de votre site ou de votre serveur, appliquer la mise à jour, contrôler que tout fonctionne ensuite et, si votre site repose sur une version qui n’est plus maintenue, préparer avec vous la montée de version.

Vous ne savez pas sur quoi repose votre site ? C’est justement la première chose que nous vérifions. Et pour ne plus avoir à courir après ce type d’alerte, notre infogérance inclut le suivi des mises à jour de sécurité de vos serveurs, au même titre que la supervision et la sauvegarde. Pour faire vérifier votre site, appelez le 04 22 14 04 63.