Faille critique PHP d’octobre 2026 : votre site WordPress est-il protégé ?

En bref : le 21 octobre 2026, le projet PHP a corrigé deux failles critiques (CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10) qui permettent de prendre le contrôle d’un serveur web à distance, sans identifiant. WordPress, Prestashop, Joomla, Drupal et Magento fonctionnent avec PHP. La seule protection est la mise à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Si vous avez un site, vérifiez dès cette semaine auprès de votre hébergeur que c’est fait.

Pas besoin de comprendre PHP pour agir : il suffit de poser les bonnes questions à la personne qui s’occupe de votre site.

Que s’est-il passé le 21 octobre 2026 ?

PHP est le langage qui fait fonctionner votre site côté serveur : il fabrique chaque page au moment où un visiteur la demande. Le 20 octobre, l’équipe de sécurité de PHP a annoncé deux failles critiques. Les correctifs ont été publiés le lendemain, le 21 octobre à 16 h (heure de Paris).

Les deux failles permettent à un attaquant d’exécuter son propre code sur le serveur, à distance, sans compte ni mot de passe. Il peut alors lire les données du site, modifier ses pages ou y déposer un logiciel malveillant. Selon la société de sécurité Sansec, les premières attaques ont été repérées dès le matin du 21 octobre, avant même la sortie du correctif.

Le CERT-EU, le centre de réponse aux incidents des institutions européennes, demande de corriger immédiatement et, à défaut, d’isoler d’Internet les applications exposées tant que le correctif n’est pas appliqué.

Pourquoi votre site est-il concerné ?

Si votre site est fait avec WordPress, Prestashop, Joomla, Drupal ou Magento, il fonctionne avec PHP. Selon W3Techs, PHP équipe 69,3 % des sites web dont le langage serveur est connu. Toute installation de PHP 5.4 ou plus récente est touchée, autrement dit la quasi-totalité des sites PHP en service.

Votre site n’a pas besoin d’être une boutique en ligne pour intéresser un attaquant. Un site vitrine compromis peut rediriger vos visiteurs vers des arnaques ou envoyer des emails frauduleux en votre nom. Votre réputation est en jeu, comme les données de vos formulaires de contact, qui relèvent du RGPD.

Les anciennes versions posent un problème à part. PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs du projet PHP. Un site resté sur l’une d’elles doit passer à une version suivie, ce qui demande de vérifier la compatibilité du thème et des extensions. PHP 8.2 arrive lui-même en fin de vie le 31 décembre 2026. C’est la même logique que pour la fin de support de Windows Server 2016 : un logiciel qui ne reçoit plus de correctifs reste ouvert à chaque nouvelle faille.

Quelles questions poser à votre hébergeur ou à votre prestataire ?

Sur un hébergement mutualisé, la formule la plus courante pour un site de PME, vous n’avez pas la main sur PHP : c’est l’hébergeur qui le met à jour. Ce n’est donc pas à vous de faire la manipulation, mais c’est à vous de demander quand elle est faite. Quatre questions suffisent.

1. Quelle version de PHP fait tourner mon site ? La réponse attendue : 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent. Une version 8.1 ou antérieure appelle une migration.
2. À quelle date le correctif a-t-il été appliqué sur mon serveur ? Une date précise, pas « bientôt ». Chaque jour sans correctif laisse la porte ouverte.
3. Mon site est-il sauvegardé, et depuis quand ? Une sauvegarde récente, stockée à part et que l’on sait restaurer, est votre filet si le site a été touché avant la mise à jour.
4. Qui surveille mon site, et qui me prévient en cas de problème ? Un hébergeur met à jour son serveur, il ne vérifie pas toujours si votre site a été modifié. Il faut savoir qui le fait.

Que faut-il éviter ?

Se fier aux réglages qui circulent sur les forums. Plusieurs modifications du fichier de configuration php.ini sont présentées comme des parades. L’équipe de sécurité de PHP est nette : elles réduisent certains risques mais ne rendent pas une installation sûre. Seule la mise à jour corrige les failles.

Attendre la prochaine maintenance prévue. Les attaques ont commencé avant le correctif : un site non corrigé est une cible dès maintenant.

Supprimer d’anciennes sauvegardes pour faire de la place. Si votre site a été compromis avant la mise à jour, une sauvegarde antérieure au 21 octobre peut être la seule version saine dont vous disposez.

Si votre hébergeur ne peut pas corriger rapidement, la recommandation du CERT-EU s’applique : isoler le site d’Internet. Mieux vaut le mettre hors ligne quelques heures que le laisser exposé.

Comment NBS gère-t-elle les sites qu’elle héberge ?

NeoByteServices héberge et maintient des sites WordPress pour ses clients. Dès l’annonce, nous avons vérifié la version de PHP de chaque site que nous hébergeons et suivi le déploiement du correctif.

Notre hébergement est conçu pour ce genre de situation :

• un hébergement WordPress infogéré sur une infrastructure haute performance, où chaque site tourne dans un environnement isolé : un site touché ne contamine pas ses voisins ;
• un pare-feu applicatif et une protection contre les attaques en périphérie du réseau (CDN), qui écartent une partie des requêtes malveillantes avant qu’elles n’atteignent le site ;
• des mises à jour de PHP déployées par l’infrastructure, sans intervention de votre part ;
• des sauvegardes quotidiennes automatiques, pour revenir à un état sain si besoin ;
• un environnement de préproduction, pour tester une mise à jour de PHP, du thème ou des extensions avant de l’appliquer au site en ligne ;
• la maintenance des extensions WordPress et le suivi du site par l’équipe NBS.

Dans une crise comme celle-ci, le point décisif est l’inventaire. Nous relevons en quelques minutes la version de PHP de tous les sites que nous hébergeons, et nous informons chaque client de l’état de son site. Notre équipe vous répond du lundi au vendredi, de 9 h à 18 h.

Votre site WordPress est hébergé ailleurs ? Nous pouvons le migrer chez nous. Nous reprenons le site tel qu’il est, nous le testons en préproduction, puis nous basculons votre nom de domaine. Votre site reste en ligne pendant toute l’opération.

L’hébergement fait partie de notre approche de la cybersécurité des PME, au même titre que l’infogérance de votre parc et la sauvegarde de vos données.

Questions fréquentes sur la faille PHP d’octobre 2026

Mon site WordPress est-il touché par la faille PHP d’octobre 2026 ?

Oui, tant que son serveur n’a pas été mis à jour : WordPress fonctionne avec PHP et toutes les versions depuis PHP 5.4 sont concernées. Votre site est protégé une fois PHP passé en 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou une version plus récente.

Mettre à jour WordPress et mes extensions suffit-il ?

Non. La faille se trouve dans PHP, le logiciel du serveur, pas dans WordPress. Les mises à jour de WordPress restent utiles, mais seule la mise à jour de PHP corrige ces deux failles. Sur un hébergement mutualisé, c’est l’hébergeur qui s’en charge.

Mon site est en PHP 7.4 ou 8.0, que faire ?

Ces versions ne reçoivent plus de correctifs du projet PHP. Il faut passer à une version suivie, de préférence 8.3 ou plus récente, après avoir vérifié en préproduction que le thème et les extensions la supportent. Demandez à votre prestataire une date précise.

Vous ne savez pas quelle version de PHP fait tourner votre site, ni qui s’en occupe ? En 30 minutes, nous faisons le point avec vous sur votre site et sur son hébergement.

Réserver un audit gratuit

NeoByteServices est une entreprise d’infogérance créée en 2019 à Cergy. Nous intervenons dans le Val-d’Oise, dans l’Oise et dans toute l’Île-de-France.

Sources : PHP, annonce des versions de sécurité du 21 octobre 2026 ; avis GHSA-w8hw-w9fx-j79w (CVE-2026-109618) ; avis GHSA-6wmf-4rv5-p3rp (CVE-2026-109619) ; CERT-EU, avis 2026-018 ; Sansec, PHP2Shell ; W3Techs, usage de PHP. Informations vérifiées le 21 octobre 2026.