Ce qui s’est passé
L’équipe de PHP a publié des versions de sécurité pour deux failles, référencées CVE-2026-109618 et CVE-2026-109619. Les deux permettent d’exécuter du code à distance, c’est-à-dire de faire exécuter au serveur des instructions choisies par un attaquant. Elles sont notées 9,2 sur 10, un niveau critique. Le CERT-FR, l’autorité française de réponse aux incidents, a publié une alerte le même jour.
Selon PHP, il n’existe pas de parade complète : la mise à jour est la seule solution sûre.
Les versions corrigées
- PHP 8.5.12, ou plus récent
- PHP 8.4.27, ou plus récent
- PHP 8.3.36, ou plus récent
- PHP 8.2.35, ou plus récent
Les versions 7.4, 8.0 et 8.1 ne sont plus maintenues. PHP a fourni un correctif à appliquer à la main, mais le CERT-FR recommande de passer à une version maintenue. La version 8.2 ne sera plus maintenue après le 31 décembre 2026 : si votre site y est, c’est le moment de prévoir le passage à une version plus récente.
Comment connaître la version de votre site
Sur WordPress, ouvrez Outils, puis Santé du site, onglet Informations : la version de PHP figure dans la rubrique Serveur. Chez la plupart des hébergeurs, elle se lit aussi dans l’espace client, à la rubrique qui permet de choisir la version de PHP. À défaut, votre hébergeur ou votre prestataire peut vous la donner.
Qui doit faire la mise à jour
Sur un hébergement mutualisé, PHP appartient à l’hébergeur : c’est lui qui installe les versions corrigées. En revanche, le choix de la version utilisée par votre site vous revient souvent. Un site resté sur une ancienne version, par exemple 7.4 pour ne pas casser un thème ou une extension, ne profitera pas des correctifs.
Changer de version n’est pas anodin : un thème ou une extension trop ancien peut cesser de fonctionner. Faites une sauvegarde, mettez à jour WordPress, le thème et les extensions, puis changez la version de PHP et vérifiez chaque page.
Sur un serveur que vous gérez vous-même, la mise à jour vous revient entièrement.
Ce que je peux faire pour vous
Pendant l’analyse gratuite de votre site, je relève la version de PHP quand elle se voit de l’extérieur et je vous dis si une mise à jour s’impose. Si vous le souhaitez, je m’en charge sur devis, en vérifiant que le site fonctionne toujours après. Les sites que je crée ne reposent pas sur PHP : ces failles ne les concernent pas.