Une faille PHP critique a été rendue publique, les craintes d’exploitation se sont rapidement propagées et de nombreuses organisations ont réagi immédiatement. Pour les chefs d’entreprise, la situation est déroutante, car PHP fonctionne discrètement en arrière-plan d’innombrables sites internet, boutiques en ligne et installations WordPress.
Qu’est-ce que la faille PHP, exactement ?
Il s’agit, selon les développeurs, de deux failles de sécurité critiques dans PHP, qui peuvent être utilisées pour exécuter du code à distance sans authentification (unauthenticated remote code execution). En termes simples : un attaquant peut exécuter du code malveillant sur un serveur vulnérable sans disposer d’un compte valide. C’est ce qui rend ce type de faille particulièrement grave.
Selon l’avis de sécurité officiel de PHP, des mises à jour de sécurité ont été publiées le 21 octobre 2026 pour les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les développeurs sont clairs sur ce point également : il n’existe pas de contournement complet, la seule option vraiment sûre est de mettre à jour. Pour plus de détails, vous pouvez lire l’avis de sécurité officiel de PHP.
Pourquoi cette faille a-t-elle suscité autant d’inquiétude ?
L’impact tient surtout à la conjonction de trois éléments. Premièrement, PHP fait tourner une très grande partie du web. Deuxièmement, la faille a largement circulé avant la publication du correctif officiel. Troisièmement, l’impact potentiel était si grand que certaines organisations n’ont pas voulu prendre de risque et ont protégé leurs systèmes par des mesures complémentaires temporaires, voire les ont rendus inaccessibles.
Il en a rapidement résulté beaucoup de désinformation en ligne. Des contournements, des conseils contradictoires et des discussions techniques ont circulé. Pourtant, l’essentiel est resté le même : si votre serveur tourne sur une version vulnérable de PHP, le correctif devait être installé le plus vite possible.
Quels sites sont à risque ?
Selon PHP, le risque concerne les installations PHP qui traitent du trafic web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed en font partie. Autrement dit, ce ne sont pas seulement les applications développées sur mesure, mais aussi de nombreux systèmes connus qui fonctionnent sur PHP, comme WordPress et WooCommerce.
Il est important de comprendre ceci : le problème ne se situe pas dans WordPress ou dans une extension, mais dans la couche PHP sous-jacente. Un site peut donc paraître tout à fait normal en façade alors que, en arrière-plan, le serveur reste vulnérable. C’est précisément pour cela que la maintenance technique est si importante.
Qu’est-ce qui a été résolu à ce jour ?
La bonne nouvelle : PHP a publié des mises à jour de sécurité. La question n’est donc plus d’attendre, mais d’appliquer correctement le correctif et de vérifier. Un environnement n’est pas sûr parce que « quelque chose a été fait » ; il l’est uniquement si la bonne version de PHP, à jour, tourne réellement.
Dans ce type d’incident, la rapidité est essentielle : d’abord restreindre l’accès, puis installer le correctif, et enfin vérifier que tout fonctionne de façon stable. Nous expliquons comment nous avons géré ce processus chez Kantex dans notre article comment nous protégeons votre site contre la faille PHP.
Ce sont deux failles de sécurité critiques dans PHP qui pourraient permettre à des attaquants d’exécuter du code sans compte sur un serveur vulnérable. Elle a donc été jugée très grave.
Oui, PHP a publié le 21 octobre 2026 des mises à jour de sécurité pour les versions prises en charge. Cela ne signifie pas pour autant que la faille est comblée partout d’elle-même ; il faut que la mise à jour soit réellement installée sur votre serveur.
Peut-être, car WordPress fonctionne généralement sur PHP. Le problème ne vient pas de WordPress lui-même, mais de la couche PHP du serveur. Si cette couche n’a pas été corrigée, votre site peut rester exposé.
Non, selon les développeurs de PHP, il n’existe pas de contournement complet. Les mesures temporaires peuvent réduire le risque, mais la vraie protection ne s’obtient qu’en passant à une version sûre.
Demandez sans attendre sur quelle version de PHP tourne votre site et si la mise à jour de sécurité du 21 octobre 2026 a été appliquée. Si vous avez un doute, faites vérifier cela immédiatement par votre hébergeur ou par l’équipe qui assure la maintenance de votre site.
