Deux failles viennent d’être révélées dans PHP, le langage qui fait fonctionner la plupart des sites internet, dont tous ceux construits avec WordPress. Une faille critique PHP de ce niveau permet à un pirate de prendre la main sur un serveur à distance. Voici ce qui se passe et ce que vous devez vérifier dès maintenant.
Ce qui change
PHP est le langage de programmation qui, sur le serveur, fabrique les pages de votre site à chaque visite. Selon W3Techs, il équipe 69,3 % des sites dont le langage serveur est connu. WordPress, Joomla, Drupal ou Magento reposent tous dessus.
Les deux failles portent les références CVE-2026-109618 et CVE-2026-109619. Une CVE est simplement un numéro d’identification public attribué à chaque faille de sécurité. Elles obtiennent une note de 9,2 sur 10 sur l’échelle CVSS v4.0, la grille internationale qui mesure la gravité d’une faille. Le problème se trouve dans le cœur même de PHP, dans sa façon de gérer la mémoire. Conséquence directe : votre site est exposé même si son propre code est irréprochable, dès lors que la version de PHP installée est vulnérable.
Une attaque possible sans identifiant
D’après l’équipe de sécurité de PHP, un attaquant peut amener le serveur à exécuter le programme de son choix, sans disposer d’aucun compte ni mot de passe. Toutes les configurations qui répondent à des visiteurs sont concernées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le danger est le plus élevé avec mod_php, où une seule requête envoyée au serveur suffit à lancer l’attaque.
Les correctifs sont disponibles
Les correctifs ont été publiés le 21 octobre. Les versions corrigées sont les suivantes :
- 8.5.12 pour la branche 8.5
- 8.4.27 pour la branche 8.4
- 8.3.36 pour la branche 8.3
- 8.2.35 pour la branche 8.2
Les anciennes versions, de la 5 à la 8.1, sont elles aussi touchées, mais le projet PHP ne les entretient plus. Des correctifs minimaux existent pour les versions 7.4, 8.0 et 8.1, réservés aux organisations qui compilent PHP elles-mêmes. Pour un site classique, la réponse recommandée par le CERT-FR est une migration vers une version maintenue. Or, toujours selon W3Techs, 26,9 % des sites en PHP tournent encore en version 7 et 7,7 % en version 5.
Les autorités ont réagi immédiatement
Le CERT-FR, le centre d’alerte rattaché à l’ANSSI, l’agence nationale de la cybersécurité, a diffusé une alerte le 21 octobre. Le CERT-EU signale que des preuves de concept circulent déjà, c’est-à-dire des démonstrations techniques qui montrent que l’attaque fonctionne réellement. Le risque d’attaques en cours est donc concret. Le ministère de l’Intérieur a placé ses services en ligne exposés en maintenance préventive, rendant les sites des préfectures temporairement inaccessibles. L’ANSSI compte plus de 600 000 serveurs utilisant PHP sur l’Internet français et conseille, quand c’est possible, de les mettre hors ligne jusqu’à l’installation de la mise à jour.
Ce que ça change pour votre entreprise
Cette faille ne vise pas seulement les grandes plateformes. Le site vitrine sous WordPress d’un artisan de Challans, le site de réservation d’un camping de la côte vendéenne ou le portail d’une commune utilisent très probablement PHP. Prendre la main sur un serveur, c’est pouvoir modifier le site, accéder aux données qu’il héberge ou s’en servir comme point de départ pour d’autres attaques.
Si votre site est sur un hébergement mutualisé, c’est en principe votre hébergeur qui applique la mise à jour. Mais en principe ne suffit pas : il faut obtenir la confirmation que c’est fait. Si votre site tourne encore sous PHP 7 ou PHP 5, la situation est plus délicate. Passer à une version récente peut provoquer des erreurs sur un site ancien, avec des extensions ou un thème qui ne sont plus compatibles. Dans ce cas, une refonte de votre site internet devient souvent la solution la plus sûre.
Pour les campings et les gîtes, l’enjeu touche aussi la confiance : un formulaire de réservation recueille des noms, des adresses et des coordonnées. Un site de camping ou de gîte bien entretenu protège à la fois votre activité et vos clients.
Ce qu’il faut faire
- Identifiez votre version de PHP. Sur WordPress, elle apparaît dans Outils, puis Santé du site, onglet Infos, rubrique Serveur. Si vous avez accès au serveur, la commande php -v l’affiche. Sinon, posez la question à votre hébergeur ou à votre prestataire.
- Comparez-la avec les versions corrigées listées plus haut. Toute version inférieure doit être mise à jour.
- Faites confirmer la mise à jour par écrit si vous êtes sur un hébergement mutualisé ou infogéré, c’est-à-dire géré par un prestataire.
- Changez la version depuis votre panneau d’administration si votre hébergement utilise cPanel ou Plesk.
- Sauvegardez votre site avant toute intervention, puis redémarrez PHP et le serveur web, et vérifiez que la nouvelle version est bien active.
- Recensez tous vos outils : un intranet, un logiciel de gestion ou un ancien site oublié peuvent contenir PHP sans que ce soit visible.
- Planifiez une migration si vous êtes encore sous une version comprise entre la 5 et la 8.1, en testant la compatibilité du site au préalable.
- Mettez le site hors ligne si la mise à jour ne peut pas être faite rapidement, comme le recommandent l’ANSSI et le CERT-FR.
- Faites vérifier l’absence d’intrusion si votre serveur est resté exposé. Le CERT-FR met à disposition une fiche réflexe qui liste les premières actions à mener pour contenir une compromission.
Vous ne savez pas quelle version de PHP fait tourner votre site, ni qui doit s’en occuper ? Commencez par un diagnostic gratuit de votre site : nous vérifions votre situation et vous indiquons clairement les étapes à suivre.
Source : Blog du Modérateur.