Des sites ministériels ponctuellement indisponibles, mais aussi des opérations de maintenance lancées du côté de plusieurs sites administratifs. Des alertes émises par des spécialistes en informatique, mais aussi par des agences de cybersécurité. Et même une mise en garde venant de la Première ministre japonaise.
Un vent de panique a soufflé sur le web dans la journée du 21 octobre 2026. Au cœur du problème, la médiatisation de deux très graves failles de sécurité dans PHP, un langage de programmation clé. On le retrouve en effet derrière près de 70 % des sites dont on connait le langage côté serveur, à commencer par tous les sites WordPress.
Il y avait donc urgence à agir, au regard de la dangerosité des deux brèches dont le degré de criticité a été évalué à 9,2/10. Heureusement, des correctifs ont été déployés dans l’après-midi du 21 octobre, pour les versions de PHP qui sont encore maintenues officiellement. Selon les branches concernées, il vous faut passer sur PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Nul doute que les personnes les plus à l’aise avec l’outil informatique ont déjà pris toutes les mesures adéquates pour prémunir leur(s) site(s) web de tout risque de cyberattaque. Mais pour celles et ceux maîtrisant moins cet aspect de l’administration d’un site, il peut être utile de savoir quelle version PHP tourne en arrière-plan.
Nous allons parler ici spécifiquement de WordPress, puisque ce système de gestion de contenu (CMS) est le plus répandu sur le net : on le retrouve sur un peu moins de 40 % des sites web, selon W3Techs, et plus de 58 % des sites dont on connaît le CMS, très loin devant des alternatives comme Shopify, Wix, Squarespace ou Joomla.
Comment savoir quelle version de PHP fait tourner son site WordPress ?
La méthode pour vérifier la version du langage derrière son site WordPress est très accessible. Connectez-vous à l’administration de votre espace (cela se passe en général via l’adresse de votre site, en ajoutant /wp-admin au bout, sauf si vous avez personnalisé ce chemin d’accès), puis rendez-vous dans le menu latéral à gauche.
Vous devez ensuite trouver la rubrique « Outils », qui ouvrira un sous-menu déroulant, puis « Santé du site ». Sur la nouvelle page qui s’affiche, vous avez un onglet « Informations ». Cliquez dessus pour changer de page, puis cherchez la ligne « Serveur ». Déroulez ce sous-menu et trouvez la ligne « Version de PHP ». Et voilà !
Le chemin d’accès peut éventuellement différer en fonction de la version de WordPress que vous utilisez.
Il existe aussi des méthodes plus techniques pour contrôler la version PHP de son site web, mais cela demande de s’y connaître davantage. OpenAI, par exemple, met à disposition une compétence pour l’application Codex afin d’aider le public à vérifier. Cela demande cependant d’être familier de Codex, de l’IA générative et des lignes de code.
Comment mettre à jour PHP pour son site WordPress
Si votre version de PHP n’est pas à jour, inutile de chercher dans l’administration de WordPress : mettre à jour le CMS ne met pas à jour PHP. En effet, WordPress n’est qu’un logiciel que l’on installe sur un serveur. La version de PHP dépend donc de l’hébergeur, comme WP Engine ou OVHcloud, par exemple.
C’est donc du côté de l’hébergement qu’il faut regarder, et de l’offre choisie. Un site peut très bien tourner sous PHP 8.2 tandis qu’un autre peut être sous PHP 8.3, y compris au sein d’un même hébergeur, en fonction de l’offre souscrite. Naturellement, les hébergeurs ont commencé à réagir après l’annonce de l’alerte.
WP Engine, qui accueille de nombreux sites WordPress, a par exemple mis en ligne les patchs adéquats sur son infrastructure, et ses clients n’ont rien de plus à faire. Chez OVH, un déploiement similaire a eu lieu, dès le 21 octobre, pour l’offre web hosting. Des guides sont fournis par ailleurs (ici pour WP Engine, là pour OVH, entre autres).
Les hébergeurs étant très nombreux, il n’est pas possible de faire un guide spécifique pour chacun d’eux, mais la plupart fournissent des ressources en ligne pour mettre à jour PHP. D’ailleurs, il est généralement possible de faire ce changement en un clic depuis le panneau de configuration client (qui est hors de WordPress, donc).
Au-delà de cette affaire, il est conseillé de se servir d’une version de PHP aussi récente que possible, pour des raisons de sécurité et de performance.
Les versions antérieures à PHP 8.2 ne reçoivent plus aucun correctif officiel. PHP 8.1 et les branches plus anciennes sont pourtant touchées par ces deux failles, mais n’ont pas eu droit à une version corrigée. PHP 8.2 elle-même ne reçoit plus que des correctifs de sécurité et arrivera en fin de vie le 31 décembre 2026, dans un peu plus de deux mois.
