Faille PHP d'octobre 2026 : ton site est-il concerné ?
Mercredi 21 octobre, 15h45. L'hébergeur bâlois Cyon coupe d'un coup son hébergement web, son webmail et son espace client. Plus de 100'000 sites deviennent inaccessibles. Personne ne les a encore attaqués : Cyon se protège d'une attaque qui peut arriver d'une minute à l'autre.
Quelques minutes plus tard, les développeurs de PHP publient le correctif de deux failles critiques. Si ton site tourne sur PHP, et c'est le cas de la quasi-totalité des sites WordPress, il faut vérifier qu'il a bien reçu cette mise à jour.
Ce qui s'est passé
PHP est le langage qui fait fonctionner une grande partie du web : 69 % des sites dont on connaît la technologie serveur l'utilisent, selon le service de mesure W3Techs. WordPress, Joomla, Drupal et PrestaShop reposent dessus.
Le 20 octobre, l'équipe de PHP annonce deux failles, notées 9,2 sur 10 pour leur gravité. Des détails fuitent avant que le correctif soit prêt. Les versions corrigées sortent le lendemain. Dès le 22, le CERT-FR, l'agence française de cybersécurité, indique avoir connaissance de démonstrations d'attaque qui fonctionnent.
Pourquoi c'est grave
Les deux failles permettent à un inconnu d'exécuter son propre programme sur le serveur qui héberge ton site, sans aucun mot de passe. Il peut alors modifier tes pages, voler les messages reçus par ton formulaire de contact ou les commandes de ta boutique, ou se servir de ton serveur pour en attaquer d'autres.
La qualité de ton site ne change rien. Un site WordPress parfaitement entretenu restait exposé tant que PHP n'était pas corrigé sur le serveur.
Pas seulement les petits sites
L'Université de Bâle, l'hôpital berlinois de la Charité et une partie des services de Wikimedia ont aussi été touchés, selon blue News. Bexio, le logiciel de gestion utilisé par de nombreuses PME suisses, a connu plusieurs heures d'interruption, selon Blick.
Ton site est-il concerné ?
Trois indices suffisent pour le savoir.
- ✓Ton site fonctionne avec WordPress, Joomla, Drupal, PrestaShop ou Magento : il tourne sur PHP.
- ✓L'adresse de certaines pages se termine par .php : il tourne sur PHP.
- ✓Tu ne sais pas : demande à ton hébergeur ou à ton prestataire quelle version de PHP fait tourner ton site.
Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Avec une version inférieure dans l'une de ces séries, ton serveur reste vulnérable.
Le piège des vieilles versions
PHP 8.1 et toutes les versions antérieures ne reçoivent plus de correctif officiel. Si ton site tourne encore sur l'une d'elles, il faut passer à une version récente. Ce changement casse parfois un vieux thème ou une vieille extension WordPress : fais-le tester sur une copie du site avant.
Ce que tu dois faire cette semaine
Hébergement mutualisé
- L'hébergeur corrige normalement PHP lui-même
- Vérifie dans ton espace client la version utilisée par ton site
- Si une ancienne série est sélectionnée, passe à 8.3 ou plus récent
Serveur dédié ou VPS
- Personne ne le fera à ta place
- Installe immédiatement les versions corrigées
- Redémarre tous les processus PHP ensuite
Site géré par un prestataire
- Demande par écrit la version installée
- Demande la date de la mise à jour
- Demande si des traces d'intrusion ont été recherchées
Une fois PHP corrigé, regarde ce qui a pu se passer avant. Des pages ou des comptes administrateurs que tu n'as pas créés, des redirections vers des sites inconnus, un message d'alerte de Google : ce sont les signes à chercher.
Pourquoi les sites qu'on construit n'étaient pas concernés
Les sites Linkio ne tournent pas sur PHP. Leurs pages sont préparées à l'avance, puis servies par le réseau de Cloudflare. Les rares fonctions qui s'exécutent à la demande, comme l'envoi d'un formulaire, tournent dans un environnement isolé où PHP n'existe pas.
Ça ne rend pas un site invulnérable. Une faille peut toucher n'importe quelle technologie, et WordPress reste un bon choix dans certains cas, on l'expliquait dans « Pourquoi on n'utilise pas de CMS ». Mais moins un site exécute de code à chaque visite, moins il offre de prises à une attaque comme celle-ci.
Questions fréquentes
- Mon site était hors ligne mercredi, a-t-il été piraté ?
- Pas forcément. La plupart des coupures, comme celle de Cyon, étaient des mesures de précaution prises avant toute attaque. Demande à ton hébergeur si ton serveur a été corrigé, et surveille les signes cités plus haut pendant quelques semaines.
- Mettre à jour WordPress suffit-il ?
- Non. La faille se trouve dans PHP, le langage installé sur le serveur, pas dans WordPress. Les mises à jour de WordPress et de ses extensions restent nécessaires, mais elles ne corrigent pas ce problème.
- Mon site est sur Wix ou Squarespace, dois-je faire quelque chose ?
- Non. Sur ces plateformes, la sécurité des serveurs est gérée par l'éditeur. Tu n'as aucune mise à jour à faire de ton côté.
- Je n'ai plus de contact avec la personne qui a fait mon site, que faire ?
- Commence par ton hébergeur : il connaît la version de PHP installée et peut la changer. Fais ensuite vérifier le site par un professionnel avant de passer à une version récente, pour éviter qu'une vieille extension ne le casse.