Failles critiques dans PHP : comment savoir si son site est touché et quelle version du langage est utilisée ?
Deux failles critiques dans PHP, corrigées ce mercredi 21 octobre 2026, ont poussé administrations et hébergeurs à couper des sites ou à les mettre en maintenance. Si votre site tourne sous WordPress, voici comment savoir quelle version de PHP il utilise, et à qui demander la mise à jour..
Deux failles critiques ont été découvertes dans le langage de programmation PHP, utilisé par près de 70 % des sites web dont le langage côté serveur est connu. Ces failles, évaluées à un niveau de criticité de 9,2 sur 10, permettent une exécution de code à distance, c'est-à-dire qu'un pirate pourrait prendre le contrôle d'un site web à distance. Les failles ont été corrigées le 21 octobre 2026, mais des sites comme ceux du ministère français de l'Écologie, de la police, de la CNIL ou de Météo-France ont dû être temporairement indisponibles ou mis en maintenance en urgence pour éviter des attaques. La Première ministre japonaise a également alerté sur le risque encouru.
Les failles touchent plusieurs versions de PHP encore maintenues officiellement. Pour se protéger, il est nécessaire de mettre à jour son site vers l'une des versions suivantes : PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ou PHP 8.2.35. Les versions antérieures à PHP 8.2 ne reçoivent plus de correctifs officiels, ce qui les rend vulnérables. Par exemple, PHP 8.1 et les versions plus anciennes n'ont pas bénéficié de mises à jour pour ces failles. PHP 8.2, bien que corrigée, arrivera en fin de vie le 31 décembre 2026, soit dans un peu plus de deux mois.
WordPress, le système de gestion de contenu (CMS) le plus utilisé sur le web (présent sur près de 40 % des sites et 58 % des sites dont le CMS est connu), repose sur PHP. Cela signifie que la majorité des sites WordPress sont potentiellement exposés à ces failles. Les administrateurs de sites WordPress doivent donc vérifier la version de PHP utilisée par leur hébergement et la mettre à jour si nécessaire. WordPress lui-même ne gère pas la version de PHP : c'est l'hébergeur qui en est responsable.
Pour savoir quelle version de PHP est utilisée par un site WordPress, il faut se connecter à l'espace d'administration du site en ajoutant /wp-admin à l'adresse du site. Ensuite, dans le menu latéral, il faut aller dans Outils, puis Santé du site, et enfin cliquer sur l'onglet Informations. Dans la section Serveur, la ligne Version de PHP indique la version utilisée. Cette méthode est accessible même aux utilisateurs peu techniques. Pour des méthodes plus avancées, des outils comme Codex d'OpenAI peuvent être utilisés, mais ils nécessitent des connaissances en ligne de code.
La mise à jour de PHP ne se fait pas depuis l'administration de WordPress, mais depuis le panneau de contrôle de l'hébergeur. Des hébergeurs comme WP Engine ou OVHcloud ont déjà déployé les correctifs nécessaires pour leurs clients. Par exemple, WP Engine a mis à jour son infrastructure et ses clients n'ont rien eu à faire. OVH a également déployé les correctifs pour ses offres d'hébergement web. La plupart des hébergeurs proposent des guides en ligne ou des options en un clic pour effectuer cette mise à jour depuis leur interface client.
Pour garantir la sécurité et les performances d'un site, il est conseillé d'utiliser la version de PHP la plus récente possible. Les versions antérieures à PHP 8.2 ne sont plus maintenues et ne reçoivent plus de correctifs, ce qui les rend vulnérables. Même PHP 8.2, bien que corrigée pour ces failles, arrivera en fin de vie dans deux mois. Il est donc recommandé de migrer vers une version plus récente, comme PHP 8.3 ou PHP 8.4, pour bénéficier d'un support à long terme et d'améliorations continues.
