Ce qui s'est passé
Le 21 octobre 2026, l'équipe de PHP a publié une mise à jour de sécurité pour corriger deux failles, classées « critiques » : CVE-2026-109618 et CVE-2026-109619. Dans les deux cas, un attaquant peut, dans certaines conditions, exécuter du code sur le serveur à distance, sans être connecté.
Ce n'est pas une faille dans un plugin ou dans un thème. Elle est dans PHP lui-même, le langage sur lequel tournent WordPress, Drupal, Joomla et une énorme partie du web. Un site dont le code est propre peut donc être touché quand même.
Les failles concernent PHP 8.2, 8.3, 8.4 et 8.5, et aussi des versions plus anciennes qui ne sont plus suivies.
Pourquoi c'est sérieux
Une faille « d'exécution de code à distance » est la catégorie la plus grave : quelqu'un qui l'exploite peut installer une porte dérobée, voler des données ou utiliser ton site pour attaquer d'autres sites.
Les chercheurs qui ont trouvé ces failles ajoutent un point inquiétant pour la deuxième : elle peut aussi laisser fuiter une partie de la mémoire du serveur, donc potentiellement des mots de passe, des clés d'API ou des jetons de connexion, sans même exécuter de code.
Côté exploitation, la situation évolue vite. Plusieurs entreprises de sécurité ont signalé des tentatives d'attaque dès le 21 octobre, et Amazon en a repéré une datée du 17 octobre, avant l'annonce publique. En revanche, les agences officielles n'avaient pas confirmé d'exploitation réussie au moment de leurs alertes. Traduction : pas de panique, mais pas de « je verrai ça la semaine prochaine ».
La solution : les versions à installer
La seule vraie solution est de passer à une version corrigée.
| Ta branche PHP | Version corrigée |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
PHP précise que ses contournements temporaires sont incomplets : mettre à jour est le seul choix sûr.
Étape 1 : savoir quelle version tourne chez toi
Sur WordPress, va dans Outils, puis Santé du site, puis l'onglet Info, et ouvre la section Serveur : tu y vois la version de PHP. Si tu as un accès SSH, tape `php -v`.
Attention : sur un hébergement mutualisé, tu choisis souvent une version « 8.3 » dans le panneau (cPanel, par exemple), mais le numéro exact du correctif (le « .36 ») est géré par l'hébergeur. C'est donc à lui qu'il faut poser la question.
Étape 2 : écrire à ton hébergeur
Ne suppose pas qu'il a tout fait. Envoie-lui un message court et précis.
Le redémarrage compte : une mise à jour installée mais jamais rechargée ne protège pas.
Étape 3 : si tu es en PHP 8.1 ou plus ancien
Ces branches ne reçoivent plus de mise à jour officielle de PHP. Deux options : un hébergeur ou un vendeur qui fournit lui-même un correctif adapté, ou un passage à une version supportée. Au passage, PHP 8.2 arrive en fin de vie le 31 décembre 2026 : autant prévoir la migration vers 8.3 ou 8.4 dès maintenant.
Avant de migrer, fais une sauvegarde et teste le site, parce qu'un vieux plugin peut casser sur une version récente.
Étape 4 : regarder si tu as déjà été touché
Si ton site était exposé avant le correctif, il vaut mieux vérifier. Amazon conseille de remonter les recherches au moins jusqu'au 17 octobre. Les signaux à surveiller :
- des erreurs 500 répétées sans raison
- des plantages ou redémarrages inexpliqués des processus PHP
- des fichiers PHP que tu n'as jamais ajoutés
- des comptes administrateur inconnus
L'absence de signe ne prouve pas que tout va bien. Si ton site gère des comptes clients ou des paiements, change les mots de passe et les clés d'API par précaution.
Pour toi qui vends des sites
Si tu as des clients, c'est le bon moment pour les prévenir de toi-même, avant qu'ils l'apprennent ailleurs. Un message honnête du type « voici ce qui s'est passé, voici ce que j'ai vérifié, voici ce que je fais » vaut mieux qu'une offre de maintenance lancée à la va-vite. Si tu proposes déjà un suivi mensuel, c'est exactement ce qu'il couvre. Si tu n'en proposes pas, cette semaine montre pourquoi un client en a besoin, sans que tu aies à forcer le ton.
Trouve tes prochains clients avec monéclaireur.
monéclaireur cherche les commerces à démarcher, les classe par priorité et prépare ce qu'il faut pour les contacter.
- Un métier, une ville : les commerces à démarcher, trouvés sur Google Maps.
- Un script d'appel et un email écrits pour chaque prospect.
- Un devis PDF en FCFA, et un suivi jusqu'à la signature.
Questions fréquentes
Mon site WordPress est à jour, suis-je protégé ?
Non, pas forcément. La faille est dans PHP, pas dans WordPress. Il faut que PHP lui-même soit à jour sur le serveur, puis redémarré.
e suis sur un hébergement mutualisé, qu’est-ce que je peux faire ?
Demande à ton hébergeur la version exacte de PHP et s’il a appliqué les correctifs du 21 octobre. Si tu peux choisir ta version dans ton panneau, prends la branche supportée la plus récente compatible avec ton site.
Un pare-feu (WAF) suffit-il ?
Il peut ajouter une couche de protection, mais il ne remplace pas la mise à jour. Même Cloudflare recommande de patcher quand même.
Que faire si je ne peux pas mettre à jour tout de suite ?
PHP publie des mesures temporaires, mais les décrit comme incomplètes. Les agences de sécurité conseillent, si c’est vraiment impossible, de couper le service concerné le temps de le corriger.