Votre site fonctionne normalement ? Cela ne prouve pas que son hébergement est à jour. Deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, ont fait l’objet de correctifs le 21 octobre 2026. Voici ce que cela signifie pour votre entreprise.
PHP, c’est quoi exactement ?
PHP est un langage exécuté sur le serveur qui héberge un site. Il permet notamment de produire les pages, traiter des formulaires et faire fonctionner des applications comme WordPress. Vous ne le voyez généralement pas : il travaille en coulisses, avant que la page arrive dans votre navigateur.
Que permettent ces failles ?
Ces défauts concernent la gestion de la mémoire et de l’état interne de PHP. Dans certaines conditions, une personne à distance peut faire exécuter du code au serveur sans disposer d’un compte. On parle d’exécution de code à distance, ou RCE. Selon les droits du processus compromis, cela peut exposer des données ou permettre de modifier le fonctionnement du site.
Le risque concerne les installations PHP qui traitent des requêtes web. Les configurations ne sont pas toutes aussi faciles à exploiter, mais aucune entreprise ne devrait considérer son site comme protégé simplement parce qu’il reste accessible. Des exploitations ont été signalées ; cela ne signifie pas que tous les sites PHP ont été piratés.
Mettre WordPress à jour suffit-il ?
Non : PHP et WordPress sont deux couches différentes. Ces failles ne sont pas propres à WordPress. Il faut vérifier le moteur PHP installé chez votre hébergeur, même si votre CMS et vos extensions sont à jour. Pour WordPress, la version apparaît dans Outils → Santé du site → Informations → Serveur. Votre panneau d’hébergement peut également l’indiquer.
Que faut-il faire maintenant ?
- Identifiez vos sites et applications utilisant PHP, y compris les anciens sous-domaines.
- Demandez à votre hébergeur de confirmer l’application des correctifs. Les premières versions PHP corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Certains fournisseurs intègrent les correctifs à leurs propres paquets : leur confirmation compte aussi.
- Préparez la mise à jour avec une sauvegarde et un contrôle de compatibilité, puis vérifiez les fonctions essentielles du site.
- Si une mise à jour immédiate est impossible, faites évaluer l’exposition et les mesures temporaires par votre prestataire. Un pare-feu applicatif ne remplace pas le correctif.
PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs du projet PHP. Il faut vérifier un éventuel support spécifique du fournisseur ou préparer une migration vers une branche maintenue. Consultez toujours les derniers avis : des recommandations complémentaires ont été publiées après le 21 octobre.
Un doute sur votre site ou votre hébergement ?
MYCIO peut vous accompagner pour faire le point sur votre environnement, coordonner les vérifications avec votre hébergeur et préparer les actions adaptées. Contactez-nous avant de modifier une configuration que vous ne maîtrisez pas.
Écrire à MYCIO · +32 2 899 69 69 · Parlons de votre site
Déjà client ? Contactez votre helpdesk habituel : help@mycio.eu.
Informations vérifiées le 29 octobre 2026. Illustration générée par IA.
Sources officielles
- PHP : avis de sécurité et mises à jour
- WordPress : ce que les propriétaires de sites doivent vérifier
- ENISA : recommandations aux organisations
- NHS England : bulletin PHP2Shell actualisé