Faille PHP du 21 octobre : qu'est-ce que cela signifie pour votre site ?

Que s'est-il passé ?

Le 21 octobre 2026, PHP a publié une mise à jour urgente pour deux failles critiques (CVE-2026-109618 et CVE-2026-109619). PHP est le logiciel qui tourne sur le serveur et fait fonctionner WordPress, WooCommerce et beaucoup d'autres sites. Via ces failles, quelqu'un peut, depuis l'extérieur et sans se connecter, faire exécuter du code sur un serveur.

En Belgique et aux Pays-Bas, de nombreuses organisations ont mis leur site hors ligne par précaution ce jour-là, notamment des sites des autorités flamandes et Smartschool, et aux Pays-Bas plusieurs sites du gouvernement néerlandais. Le Centre pour la Cybersécurité Belgique (CCB) recommande d'installer la mise à jour le plus rapidement possible. CERT-EU recommande d'envisager de protéger l'accès à votre site jusqu'à ce que la mise à jour soit installée ; pour PHP antérieur à 8.2 sur un hébergement propre, WordPress.org recommande d'envisager de mettre temporairement votre serveur hors ligne.

Sources (en néerlandais et en anglais) : php.net, VRT NWS, Rijksoverheid, VRT NWS liveblog (CCB), NCSC, CERT-EU, WordPress.org.

Suis-je concerné ?

Votre site tourne sur WordPress ou une autre application PHP ? Alors vous devez le vérifier. Important : la faille ne se trouve pas dans WordPress ni dans un plugin, mais dans PHP lui-même. Mettre à jour WordPress ou vos plugins ne la corrige donc pas.

Comment vérifier :

1. Dans WordPress, allez dans Outils > Santé du site > Informations > Serveur et regardez la version de PHP.
2. Les versions corrigées sont : 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récentes dans la même branche.
3. Vous voyez 8.1 ou plus ancien ? PHP ne publie plus de mise à jour régulière pour ces versions.

Un doute ? Demandez à votre développeur web ou à votre hébergeur.

Que faire maintenant ?

• Hébergement mutualisé ou infogéré : en général, votre hébergeur met PHP à jour lui-même. Vérifiez auprès de lui que la mise à jour est installée.
• Serveur propre ou VPS : faites mettre PHP à jour aujourd'hui par la personne qui gère votre serveur.
• PHP 8.1 ou plus ancien : faites une sauvegarde et faites passer votre site à une version prise en charge. CERT-EU recommande d'envisager de protéger l'accès à votre site jusqu'à ce que la mise à jour soit installée ; pour PHP antérieur à 8.2 sur un hébergement propre, WordPress.org recommande d'envisager de mettre temporairement votre serveur hors ligne.
• Attention aux faux e-mails : vous recevez un e-mail « de votre hébergeur » qui vous demande de vous connecter ou de communiquer votre mot de passe ? Ne cliquez pas, et passez par votre propre favori pour aller dans votre espace client.

Le contrôle gratuit de PHPGuard

Notre analyse gratuite indique si votre version de PHP visible est corrigée. Si elle est masquée, demandez à votre hébergeur.

• Votre serveur affiche sa version de PHP (par exemple dans un en-tête) ? L'analyse indique alors si cette version est égale ou supérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
• Votre serveur masque sa version de PHP ? Beaucoup de serveurs le font, et c'est en soi une bonne habitude. L'analyse ne peut alors rien en dire. Demandez à votre hébergeur ou à votre développeur web.
• Le résultat est une indication, pas un verdict définitif. Les distributions Linux comme Debian, Ubuntu et Red Hat, ainsi que certains hébergeurs, appliquent des correctifs de sécurité sans modifier le numéro de version. Une version qui semble ancienne peut donc tout de même être corrigée. Un doute ? Vérifiez auprès de votre hébergeur.

Ce que l'analyse peut afficher

• Possiblement non corrigé
  Possiblement non corrigé : vérifiez auprès de votre hébergeur

  Vérifiez auprès de votre hébergeur si la mise à jour de sécurité PHP du 21 octobre est installée.

• Branche PHP dépassée
  Branche PHP sans mises à jour régulières

  Demandez à votre hébergeur ou à votre développeur web de passer votre site à une version de PHP prise en charge.

• Version de PHP non visible
  Version de PHP inconnue

  Demandez à votre hébergeur si vous êtes sur une version de PHP corrigée.

En plus, l'analyse effectue un contrôle général et passif : WordPress et plugins dépassés, fichiers sensibles accessibles (comme des sauvegardes ou une page phpinfo), réglages PHP et serveur, https et en-têtes de sécurité. Pas de plugin, pas d'accès à votre hébergement, pas d'attaques. Vous obtenez un score de risque de 0 à 100 et voyez dans quelles catégories cela coince.

N'analysez que votre propre site, ou un site pour lequel vous avez l'autorisation.

👉 Faire le contrôle gratuit