Alerte cybersécurité : failles critiques PHP
Des millions de sites Internet potentiellement exposés. Des correctifs de sécurité sont disponibles.
Mercredi 21 octobre 2026
Une importante alerte de cybersécurité concerne PHP, un langage informatique utilisé par de très nombreux sites Internet dans le monde.
Deux failles critiques ont été découvertes. Elles pourraient permettre à des pirates d'exécuter du code malveillant sur certains serveurs vulnérables.
Les correctifs officiels ont été publiés le 21 octobre 2026.
1. PHP, c'est quoi exactement ?
PHP est un langage de programmation qui fonctionne sur les serveurs hébergeant les sites Internet.
Par exemple, lorsque vous remplissez un formulaire, vous connectez à un espace client ou passez commande sur une boutique en ligne, PHP peut intervenir en arrière-plan.
Il est notamment utilisé par :
- WordPress, pour créer des sites et blogs.
- PrestaShop, pour les boutiques en ligne.
- Joomla et Drupal, pour la gestion de sites Internet.
- De nombreuses applications professionnelles accessibles sur Internet.
Vous utilisez peut-être des sites fonctionnant avec PHP tous les jours sans le savoir.
2. Pourquoi cette alerte est-elle importante ?
Les deux vulnérabilités découvertes sont considérées comme critiques.
Dans certaines conditions, elles peuvent permettre à un pirate d'exécuter des commandes malveillantes sur un serveur, sans disposer d'un compte utilisateur.
Les conséquences possibles comprennent :
- La compromission d'un serveur Internet.
- La modification de fichiers ou de contenus.
- L'accès non autorisé à certaines données.
- L'interruption du fonctionnement d'un site.
Cela ne signifie pas que tous les sites utilisant PHP sont déjà piratés.
3. Des sites Internet ont-ils été coupés ?
Oui. Face au risque, plusieurs organismes européens ont temporairement désactivé certains sites Internet par précaution.
Des sites administratifs et des services publics figurent parmi les plateformes concernées.
Important : une fermeture préventive ne signifie pas nécessairement qu'un piratage a réussi.
4. Vous êtes un particulier : faut-il faire quelque chose ?
Non, si vous consultez simplement des sites Internet.
Cette vulnérabilité concerne PHP installé sur les serveurs des sites concernés, et non directement votre ordinateur ou votre smartphone.
Vous n'avez donc pas de logiciel PHP à installer ni de manipulation particulière à effectuer.
Il reste recommandé de maintenir votre navigateur et votre appareil à jour.
5. Vous possédez un site Internet : que faire ?
- Identifier la version PHP utilisée par votre hébergement.
- Vérifier que votre hébergeur a appliqué les correctifs.
- Effectuer une sauvegarde avant toute modification technique importante.
- Vérifier le fonctionnement du site après la mise à jour.
- Contacter votre prestataire si vous ne gérez pas vous-même votre hébergement.
Attention : mettre à jour WordPress ou ses extensions ne suffit pas à corriger une vulnérabilité de PHP installé sur le serveur.
6. Quelles sont les versions PHP corrigées ?
Les versions officielles intégrant les correctifs sont :
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Les versions plus anciennes qui ne sont plus maintenues par l'équipe PHP doivent faire l'objet d'une migration ou bénéficier d'un correctif fourni par leur distributeur.
La mise à jour doit être réalisée en tenant compte de la compatibilité des logiciels du site.
7. Comment savoir si son site est protégé ?
La première étape consiste à consulter l'espace d'administration de son hébergeur pour connaître la version PHP utilisée.
Sur un hébergement mutualisé, la sécurité du serveur peut être gérée directement par l'hébergeur.
Si vous ne trouvez pas l'information, demandez une confirmation de l'application des correctifs.
Pour consulter les annonces officielles :
Consulter les informations de sécurité sur PHP.net
Situation et évolution
Les correctifs de sécurité sont disponibles depuis le 21 octobre 2026.
Leur application effective dépend de la configuration des serveurs et des interventions réalisées par chaque hébergeur ou administrateur.
Il est recommandé de procéder aux mises à jour sans attendre.
Article publié le 21 octobre 2026.
Les informations seront actualisées suivant les communications officielles et les évolutions de la situation.
Sources : PHP Security Team, CERT-EU, Reuters.
