Des sites gouvernementaux temporairement inaccessibles, une alerte de sécurité concernant PHP et des propriétaires de sites WordPress qui s’interrogent : faut-il s’inquiéter pour son propre site ? Le 21 octobre 2026, deux failles critiques ont déclenché une mobilisation des hébergeurs et des équipes techniques. Des correctifs sont disponibles.
Un site vulnérable n’est pas forcément un site piraté. L’urgence consiste à vérifier que le correctif PHP a bien été appliqué à l’hébergement. Une fermeture préventive ne prouve pas qu’une intrusion a eu lieu.
Que s’est-il passé avec PHP en octobre 2026 ?
PHP est un langage exécuté sur les serveurs pour faire fonctionner des sites et des applications web. WordPress, Joomla et Drupal s’appuient notamment sur cette technologie. L’alerte concerne donc une composante utilisée par de nombreux services, au-delà d’un seul CMS. Elle est également relayée sous le nom PHP2Shell.
Le centre britannique de cybersécurité, le NCSC, demande aux organisations d’identifier leurs installations PHP, en donnant la priorité aux systèmes accessibles depuis Internet.
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 sont liées à la gestion de la mémoire et des erreurs. Dans certaines conditions, elles permettent à un attaquant non authentifié d’exécuter du code sur le serveur. Le CERT-EU leur attribue chacune un score de gravité de 9,2 sur 10.
La PHP Foundation confirme qu’une exploitation peut intervenir avant le lancement du code du site avec certaines configurations Apache utilisant mod_php. Une exécution de code a également été confirmée avec PHP-FPM par des chemins passant par l’application. Les conditions d’exploitation varient donc selon l’environnement.
Pourquoi des sites gouvernementaux ont-ils été mis hors ligne ?
Des administrations ont choisi de suspendre temporairement l’accès à certains services pour réduire leur exposition pendant la mise en place des protections.
En France, Reuters rapporte que le ministère de l’Intérieur a retiré temporairement les sites des préfectures dans l’attente d’un correctif pour leur environnement logiciel. L’agence décrit également des suspensions préventives en Allemagne et en Finlande. Valtori, le centre informatique de l’État finlandais, indiquait ne pas avoir identifié de tentative d’exploitation et précisait que l’interruption ne résultait pas d’une fuite de données.
Aux Pays-Bas, le NCSC a lui-même annoncé la mise hors ligne préventive de son site. Son message explique qu’il travaille à rétablir le service et redirige les visiteurs vers ses autres canaux d’information.
Cette démarche rejoint la recommandation du CERT-EU : lorsque la correction immédiate n’est pas possible, envisager d’isoler les applications exposées à Internet jusqu’à l’application et à la vérification du correctif.
Ces fermetures ne signifient donc pas que tous les sites gouvernementaux ont été piratés. Pour les cas présentés comme préventifs, l’interruption vise précisément à limiter le risque.
Est-ce que tous les sites sont compromis ?
L’affirmation selon laquelle « tous les sites sont compromis » confond trois situations :
| Situation | Ce que cela signifie |
|---|---|
| Site vulnérable | Son environnement présente une faiblesse qui peut être exploitable. |
| Site mis hors ligne par précaution | Son accès est suspendu pour réduire l’exposition pendant l’intervention. |
| Site compromis | Une intrusion ou une action malveillante a effectivement eu lieu. |
Une alerte générale ne permet pas de conclure à une intrusion sur votre hébergement. La bonne question à poser est concrète : votre installation PHP a-t-elle reçu le correctif correspondant aux deux vulnérabilités ?
Pourquoi un WordPress à jour peut-il être concerné ?
WordPress et PHP sont deux logiciels distincts. Mettre à jour WordPress, ses extensions ou son thème ne met pas automatiquement à jour PHP sur le serveur.
Wordfence rappelle cette distinction : sur un hébergement mutualisé ou géré, la maintenance de PHP relève généralement de l’hébergeur. Sur un VPS ou un serveur administré directement, elle dépend de l’équipe qui gère le système.
Un plugin de sécurité WordPress ne remplace pas cette correction. Lorsqu’une attaque peut se déclencher avant le code de l’application, il faut traiter le problème au niveau du serveur.
Faut-il obligatoirement passer à PHP 8.4 ?
Non. Il faut avant tout utiliser une version corrigée de sa branche PHP. Passer d’une branche à l’autre ne suffit pas si la version proposée n’intègre pas le correctif.
Le projet PHP a publié les versions suivantes le 21 octobre 2026 pour corriger ces deux failles :
| Branche PHP | Version intégrant les correctifs |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Par exemple, un site sous PHP 8.3 peut rester dans cette branche et recevoir PHP 8.3.36. La migration vers PHP 8.4 constitue une décision distincte, à évaluer selon la compatibilité du site.
Certains fournisseurs appliquent les correctifs à leurs propres paquets sans reprendre exactement les numéros ci-dessus : on parle de correctifs rétroportés. Une confirmation du fournisseur reste alors nécessaire. PHP 8.1 et les branches antérieures ne bénéficient plus du support standard du projet ; des rétroportages existent pour certains environnements et doivent être vérifiés auprès du prestataire.
Quelles vérifications effectuer pour votre site WordPress ?
Pour transformer l’alerte en actions utiles, nous recommandons les vérifications suivantes :
- Relever la version PHP complète. Dans WordPress, consultez Outils → Santé du site → Informations → Serveur. Une indication limitée à « PHP 8.4 » ne permet pas d’identifier le correctif installé.
- Faire confirmer la correction par l’hébergeur. Mentionnez les deux références CVE et demandez si le correctif concerne bien l’environnement qui exécute votre site. Si plusieurs domaines utilisent des versions différentes, demandez une vérification pour chacun.
- Préparer et vérifier la sauvegarde. Avant un changement de version, assurez-vous de disposer des fichiers et de la base de données, avec une possibilité de restauration.
- Contrôler le fonctionnement après intervention. Vérifiez notamment la connexion, les formulaires et, pour WooCommerce, le panier et le parcours de commande.
Demandez une confirmation portant sur le PHP réellement utilisé par le site, et sur la prise en compte effective du correctif par le service en fonctionnement. Le simple fait qu’une version apparaisse dans un panneau d’hébergement ne confirme pas qu’elle sert tous vos domaines.
Faut-il fermer son propre site en attendant ?
La décision dépend de l’exposition réelle et de la possibilité d’appliquer rapidement le correctif. Le CERT-EU recommande d’envisager l’isolation des applications publiques lorsque la correction ne peut pas être effectuée immédiatement.
Nous recommandons de prendre cette décision avec l’hébergeur ou l’administrateur du serveur. Une page de maintenance activée par un plugin WordPress ne garantit pas que PHP cesse de traiter les requêtes.
Si vous constatez déjà des modifications suspectes, demandez également une recherche d’intrusion. L’application du correctif et la vérification de l’intégrité du site répondent à deux besoins différents.
Besoin de vérifier la sécurité de votre site WordPress ?
Vous ne savez pas quelle version PHP utilise votre site ou quelle confirmation demander à votre hébergeur ? Promasterweb peut vous accompagner pour faire le point sur votre environnement, préparer une intervention et vérifier le fonctionnement de votre site.
Sources et informations complémentaires
Sources consultées le 21 octobre 2026. Les numéros de version indiqués correspondent aux correctifs publiés à cette date ; consultez les annonces de votre fournisseur pour connaître l’état de votre hébergement.
- PHP — Annonces et avis de sécurité du 21 octobre 2026
- CERT-EU — Critical Vulnerabilities in PHP
- Wiz Research — Présentation des découvertes PHP2Shell
- PHP Foundation — Explications sur les deux vulnérabilités
- NCSC britannique — Alerte et identification des systèmes concernés
- NCSC néerlandais — Avis et annonce de mise hors ligne préventive
- Reuters — Sites et services temporairement mis hors ligne
- Wordfence — Conséquences pour les propriétaires de sites WordPress
