Faille PHP critique : que faire pour votre site WordPress ?
Depuis le 21 octobre, une faille PHP critique fait la une des sites spécialisés en sécurité. Elle touche le langage sur lequel tourne WordPress, mais aussi Joomla, Drupal et la plupart des sites dynamiques. Concrètement, un inconnu, sans aucun identifiant, pourrait faire exécuter ses propres instructions sur le serveur qui héberge votre site. Les correctifs sont sortis, et des tentatives d’exploitation ont déjà été observées.
Bonne nouvelle : la parade existe et ne demande pas de refaire votre site. Elle demande en revanche de ne pas attendre. Voici d’où vient cette faille, comment savoir si vous êtes concerné, comment la corriger, et dans quels cas il vaut mieux déléguer à un professionnel.
Sommaire
💡 L’essentiel à retenir
- Il s’agit de deux failles dans PHP lui-même (CVE-2026-109618 et CVE-2026-109619), pas dans WordPress ni dans une extension.
- Elles permettent une prise de contrôle à distance sans identifiant, avec une gravité de 9,2 sur 10.
- PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent le problème : c’est la seule solution complète.
- Mettre à jour WordPress ou vos extensions ne suffit pas : c’est la version de PHP du serveur qui compte.
- Si vous avez un doute, sauvegardez, vérifiez votre version de PHP, puis faites-vous aider.
Que s’est-il passé avec cette faille PHP ?
Les deux failles avaient été signalées à l’équipe de PHP pour une publication coordonnée, prévue le 22 octobre. Les détails ont toutefois fuité sur les réseaux sociaux le 20 octobre. PHP a donc avancé la sortie de ses correctifs au 21 octobre, avec un avis officiel demandant à tous les utilisateurs de mettre à jour immédiatement.
Dans la foulée, la société de veille watchTowr a indiqué avoir observé des tentatives d’exploitation dès le 21 octobre. Au 22 octobre, les failles n’étaient pas encore inscrites au catalogue des failles exploitées de l’agence américaine CISA. Retenez surtout ceci : la faille est connue, du code censé l’exploiter circule, et des attaques ont déjà été observées.
1. D’où vient la faille ?
Le problème se situe dans la gestion de la mémoire de PHP, au moment où le serveur traite une visite. Dans le premier cas, PHP manque de mémoire en pleine préparation d’une requête, laisse des données à moitié construites, puis les traite comme si elles étaient valides. Dans le second, des informations d’une visite précédente survivent alors que la mémoire qui les portait a été libérée, et la visite suivante les réutilise.
Un défaut de ce type peut être transformé par un attaquant en exécution de code. Les sites n’y sont pour rien : ni votre thème, ni vos extensions, ni votre mot de passe ne sont en cause.
2. Pourquoi votre site WordPress est concerné
WordPress est écrit en PHP. Chaque page affichée passe par le PHP du serveur, et le correctif doit donc être appliqué sur le serveur, pas dans WordPress. PHP précise que tous les modes de fonctionnement sont concernés (PHP-FPM, mod_php, LiteSpeed, FrankenPHP), avec un risque jugé maximal avec mod_php, où une visite piégée peut agir avant même que le code de votre site ne se lance.
Votre site est-il exposé ? Comment le vérifier
La vérification prend deux minutes. Dans l’administration de WordPress, ouvrez Outils > Santé du site > Info, puis la section Serveur : la ligne « Version de PHP » indique ce que votre hébergeur fait tourner. Comparez-la avec le tableau ci-dessous.
Deux nuances à connaître. D’abord, un hébergeur peut appliquer le correctif sans changer le numéro de version affiché, c’est une pratique courante. Ensuite, une version à jour sur le papier ne dit pas si votre site a déjà été visité par un robot malveillant. Sur un site professionnel, une vérification plus complète s’impose, comme celle de notre service de sécurité WordPress.
Mon hébergeur s’en occupe-t-il à ma place ?
Souvent en partie : beaucoup d’hébergeurs ont réagi vite. Mais rien ne garantit que votre offre est déjà à jour. Demandez-lui une confirmation écrite.
Mon WordPress est à jour, suis-je protégé ?
Non. WordPress et PHP sont deux éléments séparés : la faille se corrige au niveau du serveur.
Qui contacter pour régler le problème ?
Nous intervenons directement sur votre site : vérification, mise à jour de PHP, tests et recherche d’intrusion. Le plus simple : commander notre Urgence dépannage WordPress (Maintenance express, 69 €), nous prenons la main sur votre site.
| Branche de PHP | Version corrigée | Que faire ? |
|---|---|---|
| PHP 8.5 | 8.5.12 | Mettre à jour |
| PHP 8.4 | 8.4.27 | Mettre à jour |
| PHP 8.3 | 8.3.36 | Mettre à jour |
| PHP 8.2 | 8.2.35 | Mettre à jour |
| PHP 8.1, 8.0, 7.4 | Aucune version officielle | Correctif d’un hébergeur, ou changer de branche |
| PHP 7.3 et plus ancien | Aucun correctif | Changer de branche, sans attendre |
Comment corriger la faille PHP, étape par étape
Sur un hébergement mutualisé, la correction passe en général par le panneau de votre hébergeur. Sur un serveur dédié ou un VPS, elle passe par le système lui-même. Dans tous les cas, l’ordre des opérations compte :
- Sauvegardez les fichiers et la base de données du site, et gardez la sauvegarde hors du serveur ;
- Relevez la version de PHP actuelle et la liste des extensions installées ;
- Passez sur une version corrigée, ou demandez à l’hébergeur d’appliquer le correctif sur votre offre ;
- Redémarrez les processus PHP : tant que ce n’est pas fait, l’ancien code reste actif ;
- Testez le site : pages, formulaires, panier et paiement si vous avez une boutique ;
- Surveillez les journaux d’erreurs et le comportement du site les jours suivants.
Changer de version de PHP peut casser un site dont une extension n’est pas compatible, et provoquer une erreur 500 sur WordPress. C’est la raison pour laquelle la sauvegarde et les tests ne sont pas facultatifs, en particulier sur une boutique WooCommerce.
1. Faut-il s’en tenir aux réglages provisoires ?
PHP publie quelques réglages qui réduisent l’exposition (limites de mémoire, de taille des envois, options de session). L’équipe précise elle-même qu’ils ne rendent pas l’installation sûre et que seule la mise à jour est une solution complète. Ils servent à gagner quelques heures, pas à clore le dossier. Leur réglage dépend de votre serveur, et une erreur de configuration peut faire tomber le site : c’est un travail de technicien.
2. Et si votre PHP est ancien ?
PHP 8.1 et les versions précédentes ne reçoivent plus de mise à jour de l’équipe officielle. Certains hébergeurs proposent un correctif adapté, et PHP a fourni des correctifs minimaux pour les installations compilées à la main. Sur un hébergement classique, la bonne solution est de passer à une branche encore maintenue, ce qui demande souvent de vérifier le thème et les extensions avant de basculer.
Mon site a-t-il déjà été attaqué ?
Mettre PHP à jour ferme la porte, mais ne dit pas si quelqu’un est déjà entré. Si votre site n’était pas protégé entre le 21 octobre et aujourd’hui, quelques signes doivent vous alerter :
- des fichiers inconnus dans le dossier du site, ou des fichiers récemment modifiés sans raison ;
- des comptes administrateurs que vous n’avez pas créés ;
- des redirections vers d’autres sites ou des pages étrangères dans Google ;
- un site soudain lent ou un serveur très sollicité ;
- des e-mails envoyés depuis votre domaine sans que vous en soyez l’auteur.
Un pirate qui a eu le temps d’installer une porte dérobée garde l’accès même après la mise à jour. Si l’un de ces signes apparaît, ne supprimez rien au hasard : conservez une copie de l’état actuel, changez vos accès et demandez une analyse. Un dépannage WordPress rapide limite les dégâts et le temps d’indisponibilité.
Faire appel à un expert : comment WOOCare vous aide
Vous gérez une boutique, un site de rendez-vous ou un site vitrine qui vous rapporte des clients ? Ce n’est pas le moment de tester par vous-même. Voici ce que nous prenons en charge sur un site WordPress :
- le diagnostic : version de PHP, configuration du serveur, extensions et thème concernés ;
- la mise à jour sécurisée de PHP, avec sauvegarde préalable et retour arrière possible ;
- les tests du site, des formulaires et, si besoin, du tunnel de commande WooCommerce ;
- la recherche de traces d’intrusion : fichiers suspects, comptes inconnus, tâches planifiées ;
- le durcissement du site et la mise en place d’une surveillance dans la durée.
Pour une intervention ponctuelle, la Maintenance express convient bien. Si vous voulez ne plus jamais vous occuper de ces sujets, le forfait Maintenance sérénité WordPress regroupe mises à jour, sauvegardes du site et surveillance. Nous traitons aussi vos mises à jour WordPress au quotidien, pour que ce genre d’alerte reste un détail.
Questions fréquentes
La faille PHP est-elle déjà exploitée ?
Des chercheurs ont observé des tentatives d’exploitation dès le 21 octobre. Considérez le risque comme actif.
Faut-il couper mon site en attendant ?
En général non. Il faut surtout mettre à jour vite. Si votre PHP est très ancien et sans correctif, parlez-en à un professionnel.
Mes extensions de sécurité me protègent-elles ?
Pas contre cette faille : elle agit sur le serveur, parfois avant que WordPress ne se lance.
Combien de temps dure la mise à jour de PHP ?
Le changement lui-même est rapide. Les tests et la vérification du site prennent plus de temps, surtout sur une boutique.
Un hébergement mutualisé est-il concerné ?
Oui. Chaque hébergeur doit appliquer le correctif sur ses serveurs. Vérifiez la version affichée et demandez-lui une confirmation.
Mettre PHP à jour cette semaine
Cette faille PHP n’est pas un défaut de votre site, mais c’est à vous de vérifier qu’il est protégé. Sauvegardez, contrôlez votre version, faites appliquer le correctif, puis vérifiez que rien n’a été touché entre-temps. Si vous préférez que ce soit fait pour vous, nous nous en occupons.
→ Faille PHP, site à vérifier ou à protéger ? Demandez une intervention Maintenance express WordPress
