Deux nouvelles vulnérabilités informatiques viennent d’être révélées dans PHP, un langage informatique utilisé par un très grand nombre de sites internet.
Ces vulnérabilités présentent un niveau de gravité particulièrement élevé : 9,2 sur 10 selon le système de classification CVSS v4.0.
Elles sont identifiées sous les références :
CVE-2026-109618 et CVE-2026-109619.
Des correctifs ont été publiés ce mercredi 21 octobre 2026.
Pour les propriétaires de sites internet, cette actualité rappelle une réalité parfois oubliée : la sécurité d’un site ne dépend pas uniquement de son système de gestion de contenu ou de ses extensions.
Elle dépend aussi des logiciels installés sur le serveur qui l’héberge.
PHP, c’est quoi exactement ?
Lorsqu’on visite un site WordPress, on voit généralement des pages, des images, des articles ou des formulaires.
Mais derrière ces éléments se trouvent plusieurs composants informatiques nécessaires au fonctionnement du site.
Parmi eux, PHP joue un rôle essentiel.
C’est notamment ce langage qui permet à WordPress de communiquer avec sa base de données, de gérer les connexions des utilisateurs et de générer les pages affichées dans le navigateur.
PHP est donc présent sur de très nombreux serveurs internet.
Et lorsqu’une faille critique est découverte dans ce logiciel, les conséquences peuvent être importantes.
Deux vulnérabilités particulièrement dangereuses
Les failles annoncées aujourd’hui peuvent, dans certaines configurations, permettre à un attaquant d’exécuter du code informatique à distance sur un serveur vulnérable.
On parle alors de RCE, pour Remote Code Execution.
Contrairement à certaines attaques nécessitant un mot de passe volé ou une connexion préalable, ces vulnérabilités peuvent être exploitées sans authentification.
Selon la configuration du serveur et les droits accordés au processus PHP, un attaquant pourrait notamment chercher à :
- Accéder à des informations confidentielles.
- Modifier des fichiers hébergés sur le serveur.
- Installer du code malveillant.
- Perturber le fonctionnement d’un site.
- Exploiter les ressources du serveur à des fins malveillantes.
Il est important de préciser que ces conséquences dépendent des conditions d’exploitation. La découverte d’une vulnérabilité ne signifie pas que tous les sites concernés ont été piratés.
L’équipe de développement PHP a identifié un risque particulièrement élevé pour certaines configurations utilisant Apache avec le module mod_php.
Mais les autres modes d’exécution de PHP ne doivent pas être considérés comme automatiquement protégés.
WordPress à jour ne signifie pas nécessairement serveur sécurisé
C’est probablement le point le plus important de cette alerte.
Beaucoup de propriétaires de sites WordPress pensent être protégés parce qu’ils effectuent régulièrement les mises à jour proposées dans leur administration.
C’est indispensable, mais ce n’est pas suffisant.
Prenons un exemple.
Une petite entreprise possède un site WordPress.
Son administrateur a installé les dernières mises à jour de WordPress, du thème et des extensions.
Tout semble fonctionner correctement.
Pourtant, si son hébergement utilise une version PHP vulnérable, son site peut rester exposé malgré ces précautions.
La sécurité d’un site internet doit donc être considérée dans son ensemble.
Cela comprend le site lui-même, ses extensions, sa base de données, les logiciels du serveur, les accès administrateurs et la politique de sauvegarde.
Quelles versions de PHP faut-il utiliser ?
Les développeurs de PHP ont publié les versions corrigées suivantes le 21 octobre 2026.
| Branche PHP | Première version intégrant les correctifs |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Ces mises à jour corrigent les deux vulnérabilités annoncées.
Les versions antérieures de ces branches doivent être mises à jour sans attendre.
Il faut également rappeler que PHP 8.1 et les branches précédentes ne bénéficient plus du support officiel de sécurité.
Autre échéance importante : PHP 8.2 arrivera en fin de support le 31 décembre 2026.
Les administrateurs utilisant cette version doivent donc anticiper une migration vers une branche plus récente. PHP
Comment vérifier la version PHP de son site WordPress ?
Pour un site WordPress, la vérification est relativement simple.
Il faut se connecter à son administration, puis ouvrir :
Outils → Santé du site → Informations → Serveur
La version PHP utilisée apparaît dans les informations techniques.
Cette vérification permet de savoir si une mise à jour est nécessaire.
Attention cependant : suivant votre hébergeur, le changement de version PHP peut nécessiter une intervention dans l’interface de gestion de l’hébergement.
Chez certains prestataires, les mises à jour du moteur PHP sont gérées directement par l’hébergeur.
Il faut donc distinguer la version sélectionnée pour son site et les correctifs effectivement déployés sur l’infrastructure.
Peut-on effectuer la mise à jour sans risque ?
Une mise à jour de sécurité ne doit pas être reportée inutilement.
Mais il faut également prendre certaines précautions pour éviter une interruption de service.
Avant de changer de branche PHP, il est recommandé de disposer d’une sauvegarde récente du site et de sa base de données.
Il faut ensuite vérifier la compatibilité de WordPress, du thème et des différentes extensions.
Une extension ancienne peut parfois rencontrer des difficultés avec une version plus récente de PHP.
Dans le cas d’une migration importante, un environnement de test permet de contrôler le fonctionnement du site avant d’appliquer les changements en production.
Cette préparation ne doit toutefois pas devenir une raison pour laisser durablement un serveur exposé à des vulnérabilités critiques.
Les petites structures sont également concernées
On associe souvent les cyberattaques aux grandes entreprises, aux administrations nationales ou aux établissements bancaires.
Pourtant, un site internet appartenant à une petite commune, à une association ou à une entreprise artisanale peut également présenter un intérêt pour des cybercriminels.
Pourquoi ?
Parce que certaines attaques sont automatisées.
Des outils permettent de rechercher sur internet des serveurs utilisant des logiciels vulnérables, sans nécessairement cibler une organisation particulière.
Un petit site internet peut ainsi se retrouver exposé simplement parce que son environnement technique n’a pas été correctement maintenu.
Une compromission peut entraîner une indisponibilité du service, une modification des pages, l’injection de contenus malveillants ou, selon les circonstances, une atteinte aux données hébergées.
La taille d’une organisation ne la protège pas contre les attaques informatiques.
La maintenance informatique ne doit pas être négligée
Chez VARGSEC, nous constatons régulièrement que les utilisateurs accordent beaucoup d’attention à l’apparence de leur site internet.
C’est naturellement important.
Mais un site internet ne se limite pas à ce que voient les visiteurs.
Derrière les pages se trouvent des logiciels, des bases de données, des comptes administrateurs et des services techniques qui nécessitent un suivi régulier.
La sécurité doit être prise en compte dès la création du site, puis tout au long de son utilisation.
Cela passe notamment par des mises à jour régulières, une gestion rigoureuse des accès, des sauvegardes fiables et une surveillance des vulnérabilités publiées.
L’alerte PHP du 21 octobre 2026 illustre parfaitement cette nécessité.
VARGSEC accompagne les professionnels et les collectivités
VARGSEC propose des prestations d’accompagnement et de sécurisation informatique, notamment autour des environnements WordPress.
Notre démarche consiste à privilégier des solutions adaptées aux besoins réels des petites structures, sans complexité inutile.
Vous gérez le site internet d’une entreprise, d’une association ou d’une collectivité ?
Vous ne connaissez pas la version PHP utilisée par votre hébergement ?
Vous souhaitez faire vérifier la configuration et la sécurité de votre installation ?
VARGSEC peut vous accompagner dans l’évaluation et la sécurisation de votre site internet.