Faille PHP d'octobre 2026, votre site WordPress est-il concerné ?

Ce qui s'est passé

Quand un visiteur ouvre une page de votre site WordPress, c'est PHP qui prépare cette page sur le serveur, avant de l'envoyer à son navigateur. PHP fait fonctionner environ trois sites sur quatre parmi ceux dont on connaît la technologie, de WordPress à Joomla, Drupal ou PrestaShop.

Des chercheurs ont découvert dans PHP deux failles qui permettent à une personne malveillante de faire exécuter ses propres instructions par le serveur. Concrètement, elle peut prendre le contrôle du site, en modifier le contenu ou récupérer ses données, sans avoir besoin d'un identifiant ni d'un mot de passe.

Les détails devaient rester confidentiels jusqu'à la publication de la correction, mais ils ont circulé un jour plus tôt. Les premières tentatives d'attaque ont donc été observées très vite, ce qui rend la mise à jour urgente.

La correction existe. L'important est de s'assurer qu'elle est bien installée sur le serveur de votre site.

Les sites concernés

Tous les sites qui fonctionnent avec PHP sont concernés, et donc tous les sites WordPress. Pour une fois, mettre à jour ses extensions et son thème ne suffit pas. La faille se trouve dans PHP lui-même, et elle peut être déclenchée avant même que WordPress ne démarre.

WordPress n'est donc pas en cause. Il reste un choix solide et sûr, suivi par une équipe de sécurité dédiée et mis à jour très régulièrement. La faille se trouve dans le langage qui le fait fonctionner, et elle touche de la même façon tous les sites construits avec PHP, quel que soit leur système de gestion de contenu.

Les sites créés sur des plateformes comme Wix, Squarespace ou Shopify ne dépendent pas de votre propre installation de PHP, c'est la plateforme qui gère ses serveurs. Les sites statiques, faits uniquement de pages HTML, ne sont pas concernés non plus.

Connaître la version PHP de votre site

Dans WordPress, la version de PHP se trouve en quelques clics :

• Ouvrez le menu Outils, puis Santé du site.
• Choisissez l'onglet Informations.
• Dépliez la partie Serveur, la version de PHP est indiquée dans la liste.

Vous la trouvez aussi dans l'espace client de votre hébergeur, souvent dans les réglages de l'hébergement. Voici ce qu'elle vous apprend :

Version	Ce que vous voyez	Ce que vous pouvez faire
8.2 à 8.5	Une version encore suivie par l'équipe de PHP.	Vérifier avec votre hébergeur que la correction est installée. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
8.1 et avant	Une version qui ne reçoit plus de mises à jour officielles.	Demander à votre hébergeur s'il applique lui-même la correction, et prévoir le passage à une version récente.

Certains hébergeurs appliquent la correction sans changer le numéro affiché. Si votre version semble plus ancienne que celles du tableau, poser la question à votre hébergeur reste la meilleure façon d'en avoir le cœur net.

Ce qu'il faut demander à votre hébergeur

La correction s'installe sur le serveur, c'est donc votre hébergeur qui s'en charge. Un message à leur support suffit pour être rassuré, avec ces trois questions :

• La correction des failles PHP du 21 octobre 2026 est-elle installée sur mon hébergement ?
• Quelle version de PHP utilise mon site ?
• Avez-vous remarqué une activité inhabituelle sur mon hébergement ces derniers jours ?

Si votre site est géré par une agence ou une indépendante, c'est à elle que vous pouvez poser ces questions. Elle connaît votre hébergement et sait déjà ce qu'il faut vérifier.

Si votre site utilise une ancienne version

Les versions 8.1 et plus anciennes ne reçoivent plus de mises à jour de l'équipe de PHP. Certains hébergeurs appliquent tout de même la correction, mais c'est le bon moment pour passer à une version récente.

Ce passage demande un peu de préparation. Un thème ou une extension ancienne peut ne pas fonctionner avec une version récente de PHP. On commence donc par une sauvegarde complète, on met à jour WordPress, le thème et les extensions, puis on change la version de PHP et on vérifie chaque page du site. Avec un site entretenu régulièrement, cela prend en général moins d'une heure.

Pour aller plus loin, le WordPress headless

Si vous êtes dans les préparatifs pour concevoir ou migrer un site important et que le budget le permet, l'architecture WordPress headless mérite que l'on s'y arrête un moment. Vos équipes gardent l'administration de WordPress et leurs habitudes, et le site public est développé à part dans une autre technologie avec ses propres avantages.

WordPress peut alors vivre dans un réseau protégé, réservé à vos équipes, et vos visiteurs ne passent jamais par lui. Face à une faille comme celle-ci, la mise à jour reste nécessaire, mais elle se fait sans urgence. Cette architecture apporte aussi de la vitesse et une grande liberté de design, en échange d'un développement plus complexe et de deux systèmes à entretenir.

Un site entretenu traverse ces alertes sereinement

Des failles sont découvertes régulièrement, dans PHP comme dans tous les logiciels. Ce qui fait la différence, c'est la rapidité avec laquelle la correction arrive sur votre site. Un site suivi, avec des mises à jour régulières, des sauvegardes et une surveillance, reçoit la correction dans les heures qui suivent son annonce, sans que vous ayez à vous en occuper.

C'est ce que je propose avec l'hébergement et la maintenance de vos sites. Je m'occupe de l'hébergement, des mises à jour, des sauvegardes et de la surveillance, pour que vous puissiez vous consacrer à votre activité.

Vos questions

Mon site a-t-il été piraté ?

Dans la grande majorité des cas, non. Quelques signes peuvent vous alerter, comme un compte administrateur que vous ne connaissez pas, des pages qui redirigent vers un autre site ou un avertissement de Google dans les résultats de recherche. Au moindre doute, contactez votre hébergeur et changez les mots de passe de votre site et de votre hébergement.

Faut-il quitter WordPress ?

Non. Tous les systèmes de gestion de contenu construits avec PHP sont concernés de la même façon, et la correction de PHP suffit.

Faut-il mettre à jour mes extensions WordPress ?

C'est toujours une bonne habitude, mais cela ne corrige pas cette faille. Elle se trouve dans PHP, sur le serveur, et seule la mise à jour de PHP la corrige.

Quelles sont les références officielles de ces failles ?

Elles portent les numéros CVE-2026-109618 et CVE-2026-109619. Vous pouvez les citer à votre hébergeur pour qu'il sache exactement de quoi vous parlez.

Mon site est hébergé chez Wix ou Shopify, dois-je faire quelque chose ?

Non. Ces plateformes gèrent elles-mêmes leurs serveurs et leurs mises à jour.

Quand je crée votre site WordPress, vous pouvez me confier son hébergement et sa maintenance. Les corrections de sécurité comme celle-ci sont alors comprises, et installées dès leur publication, sans que vous ayez à y penser. Découvrez la création de site web et l'option hébergement.