Alerte
Failles critiques dans PHP : votre site doit être mis à jour
Deux failles critiques ont été corrigées dans PHP le 22 octobre 2026. Qui est concerné, comment vérifier sa version et quoi demander à son hébergeur.
Publié le 29 octobre 2026 · 2 min de lecture
Ce qui se passe
Deux failles de sécurité critiques ont été découvertes dans PHP. Selon Cybermalveillance.gouv.fr, des cybercriminels « pourraient très prochainement exploiter ces failles pour conduire des attaques massives ». Les risques cités : prise de contrôle du serveur à distance, interruption du site, vol ou destruction de données, voire accès au reste du système informatique de l'entreprise.
Les sites les plus exposés sont ceux qui vendent en ligne, qui manipulent des données sensibles (clients, patients, comptes) ou qui sont reliés à des outils internes (ERP, facturation, CRM).
Êtes-vous concerné ?
Probablement, si votre site est fait avec WordPress, PrestaShop, Joomla, Drupal ou un développement sur mesure en PHP. Les versions qui corrigent les failles, publiées le 22 octobre 2026, sont :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Une version plus ancienne de la même branche est vulnérable. Les branches qui ne sont plus maintenues (PHP 8.1 et avant) ne reçoivent plus de correctifs : il faut changer de version.
Que faire, concrètement
- Trouvez votre version de PHP. Dans WordPress : Outils, puis Santé du site, onglet Infos, rubrique Serveur. Chez la plupart des hébergeurs, elle apparaît aussi dans l'espace client.
- Hébergement mutualisé (OVHcloud, o2switch, Hostinger, IONOS…) : l'hébergeur met généralement PHP à jour pour vous. Vérifiez sa page d'état ou écrivez-lui : « Avez-vous appliqué les correctifs PHP du 22 octobre 2026 sur mon hébergement ? »
- Serveur dédié, VPS ou site géré par un prestataire : demandez la mise à jour aujourd'hui, avec la liste des versions ci-dessus.
- Version 8.1 ou plus ancienne : prévoyez la migration vers une version maintenue avec votre prestataire, après une sauvegarde complète du site.
- Gardez une trace de la date de mise à jour : c'est une bonne pratique, et une preuve utile si un client ou un assureur vous la demande.
Pour aller plus loin
Une faille sur le site web est rarement isolée : sauvegardes, mises à jour automatiques et comptes administrateur protégés limitent les dégâts. L'analyse gratuite de votre domaine vérifie en une minute le HTTPS et la protection de vos e-mails, et le bilan cyber gratuit fait le point sur le reste.