Deux failles critiques touchent PHP, le langage sur lequel tourne votre site WordPress, et des correctifs sont déjà publiés. Voici comment vérifier votre version, savoir qui installe la mise à jour et agir calmement dès aujourd'hui.
1. Points clés à retenir
- Deux failles critiques (CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell ») touchent PHP, pas WordPress lui-même.
- Elles sont notées 9,2 sur 10 (CVSS v4.0), soit la catégorie critique.
- Elles peuvent permettre à un attaquant d'exécuter du code à distance, sans identifiant, sur un serveur vulnérable.
- Les correctifs ont été publiés le 21 octobre 2026.
- Votre site est concerné parce qu'il tourne sur PHP. Le premier geste : connaître votre version de PHP.
- Selon votre hébergement, le correctif est installé par l'hébergeur ou par l'agence ou l'administrateur du serveur.
- Pas de panique : l'alerte est traitée par les canaux officiels, et quelques gestes simples suffisent pour bien réagir.
2. Que s'est-il passé, et pourquoi WordPress est-il concerné ?
Le 20 octobre 2026, l'équipe sécurité de PHP annonce une mise à jour pour le lendemain. Des informations sous embargo avaient déjà circulé. La société de sécurité watchTowr a confirmé sur X que les failles étaient bien réelles. Le 21 octobre, à 14h UTC (16h à Paris), les correctifs sont publiés.
Pour mémoire, PHP est le langage qui fait fonctionner votre site sur le serveur. Il travaille en coulisses, comme le moteur d'une voiture. Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, ont chacune reçu la note de 9,2 sur 10. Selon cyberattaque.org, l'équipe officielle confirme qu'elles « peuvent permettre une exécution de code à distance sans authentification ». Autrement dit, un attaquant pourrait prendre le contrôle d'un serveur vulnérable sans connaître le moindre mot de passe.
Et WordPress dans tout cela ? Rien n'indique que le problème vienne de WordPress. Mais WordPress est écrit en PHP et fonctionne grâce à lui. Si le serveur qui héberge votre site utilise une version de PHP vulnérable, votre site est exposé, comme tous les autres sites qui s'y trouvent. C'est pourquoi la bonne question n'est pas « mon WordPress est-il à jour ? », mais « quelle version de PHP tourne sur mon hébergement ? ».
Une précision utile : les sources que nous avons consultées ne s'accordent pas sur les versions couvertes par les correctifs. L'une parle des quatre branches maintenues de PHP, une autre indique que seules les versions 8.2 et plus récentes recevront un correctif officiel. Si votre site tourne sur une version ancienne, il faudra donc peut-être changer de version de PHP, et pas seulement appliquer une mise à jour. Votre hébergeur ou votre agence pourra vous le confirmer.
3. Comment vérifier votre version de PHP
Vous n'avez pas besoin d'être développeur. Deux chemins simples existent.
Depuis votre tableau de bord WordPress
- Connectez-vous à l'administration de votre site.
- Ouvrez le menu Outils, puis Santé du site.
- Cliquez sur l'onglet Info, puis déroulez la rubrique Serveur.
- Repérez la ligne Version de PHP et notez le numéro indiqué.
Depuis l'espace de votre hébergeur
La plupart des hébergeurs affichent la version de PHP dans leur interface de gestion, souvent dans une rubrique dédiée à PHP ou à la configuration du site. Si vous ne retrouvez pas vos accès, c'est normal : demandez-les à la personne qui a mis en ligne votre site.
Une fois le numéro noté, transmettez-le à votre hébergeur ou à votre agence et posez une question simple : « Cette version est-elle couverte par les correctifs publiés le 21 octobre 2026 ? »
4. Qui installe le correctif : l'hébergeur ou l'agence ?
Point d'attention : la répartition des rôles dépend de votre contrat d'hébergement. En règle générale :
- Hébergement mutualisé (plusieurs sites sur un même serveur géré par l'hébergeur) : c'est en général l'hébergeur qui met à jour PHP sur ses serveurs. Il peut parfois vous laisser choisir la version dans votre espace client.
- Serveur privé virtuel (VPS) ou serveur dédié : la mise à jour revient à la personne qui administre le serveur, souvent une agence ou un prestataire technique.
Dans tous les cas, certaines mesures temporaires peuvent être mises en place côté serveur, par exemple des règles qui bloquent certaines requêtes dites « multipart ». Elles sont retirées une fois la version corrigée installée, les processus PHP redémarrés et le bon fonctionnement du site vérifié. Ce travail concerne l'hébergeur ou l'administrateur système, pas vous.
Votre rôle de dirigeant est simple : savoir qui est responsable, lui poser la question, et obtenir une réponse écrite. Si personne ne sait vous répondre, c'est justement le signe qu'un suivi de maintenance fait défaut.
5. Que faire dès maintenant ?
- Notez votre version de PHP (voir la section précédente).
- Contactez votre hébergeur ou votre agence et demandez si le correctif du 21 octobre est installé sur votre serveur, ou à quelle date il le sera.
- Faites une sauvegarde complète de votre site (fichiers et base de données) avant tout changement de version.
- Faites tester le site après la mise à jour : pages principales, formulaires, boutique si vous en avez une. Un changement de version de PHP peut parfois révéler une extension ou un thème trop ancien.
- Gardez le reste à jour : WordPress, thèmes et extensions. Cela ne remplace pas le correctif PHP, mais cela réduit les autres portes d'entrée.
Aucune mesure ne garantit une protection totale : la sécurité est un travail de suivi, pas un réglage définitif. Mais agir vite, avec méthode, réduit nettement les risques.
Si votre site est très ancien et ne fonctionne plus correctement avec une version récente de PHP, il peut être temps d'envisager une refonte de site internet plutôt que de multiplier les rustines.
Cette alerte est sérieuse, mais elle est gérable. Les correctifs existent, les organismes officiels s'en sont saisis, et votre rôle consiste surtout à poser les bonnes questions : quelle version de PHP, qui s'en occupe, et quand ?
Vous n'êtes pas sûr de votre hébergement, ou personne ne suit votre site depuis sa mise en ligne ? 2MWeb, agence web en Seine-et-Marne, peut vérifier votre version de PHP et assurer la maintenance de votre site. Appelez-nous au 01 85 45 00 40 du lundi au vendredi (9h-12h30 et 13h30-18h), ou demandez un devis gratuit : nous vous répondrons simplement, sans jargon.
Contactez-nous
7. FAQ — Faille PHP et site WordPress
Les questions que se posent le plus souvent les dirigeants de TPE face à cette alerte.
Mon site WordPress est-il forcément piraté ?
Non. Une faille est une porte potentiellement ouverte, pas une intrusion avérée. L'enjeu est d'installer le correctif rapidement, sur un serveur dont la version de PHP est bien couverte.
Dois-je mettre à jour WordPress pour corriger cette faille ?
Pas uniquement. La faille se situe dans PHP, pas dans WordPress. Le correctif se applique au niveau du serveur. Garder WordPress, vos thèmes et vos extensions à jour reste toutefois une bonne pratique.
Comment savoir quelle version de PHP utilise mon site ?
Dans l'administration WordPress, ouvrez Outils > Santé du site > Info > Serveur. La version de PHP y est indiquée. Elle figure aussi souvent dans l'espace de votre hébergeur.
Mon hébergeur s'occupe-t-il de tout ?
Cela dépend de votre contrat. Sur un hébergement mutualisé, il met en général PHP à jour. Sur un VPS ou un serveur dédié, c'est à l'administrateur du serveur de le faire. Demandez une confirmation écrite.
Ma version de PHP est ancienne : que faire ?
Les sources consultées divergent sur les versions couvertes par le correctif. Faites-vous confirmer par votre hébergeur ou votre agence si votre version l'est, et prévoyez au besoin un passage à une version plus récente, après sauvegarde et tests.
