Le mardi 20 octobre 2026, l’équipe de sécurité de PHP a prévenu : deux failles critiques, un correctif le lendemain à 14 h UTC, pas de détails avant. Le soir même, les identifiants ont fuité en ligne, avec un score erroné de 10 sur 10. Le mercredi 21 octobre, le correctif est sorti, et des codes de démonstration ont circulé dans les heures qui ont suivi. Si votre site tourne sous WordPress, il tourne sous PHP : vous étiez concerné. Voici ce qui s’est passé, ce que ça change, et ce que nous avons fait pour les sites que nous hébergeons.
Ce qui s’est passé : PHP2Shell en quatre dates
- 20 octobre, 15 h UTC. Les identifiants CVE-2026-109618 et CVE-2026-109619 apparaissent en ligne avant la publication officielle, avec un score de 10 qui sera corrigé à 9,2 (CVSS v4.0) par la PHP Foundation. L’embargo est rompu ; PHP avance sa publication.
- 21 octobre, 14 h UTC. Correctif publié : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les deux failles permettent une exécution de code à distance sans authentification : un attaquant peut prendre le contrôle d’un serveur sans aucun identifiant, en lui envoyant une requête web préparée. Le risque le plus élevé concerne PHP exécuté comme module d’Apache (mod_php). PHP ne publie aucune parade complète : mettre à jour est la seule solution.
- 21 octobre, dans les heures qui suivent. Des chercheurs reproduisent l’exploitation et des codes de démonstration apparaissent sur GitHub ; des tentatives d’attaque sont signalées dans les jours suivants.
- Toutes les versions antérieures sont touchées. PHP 8.1 et les versions plus anciennes ne sont plus maintenues : vu la gravité, la PHP Foundation a exceptionnellement publié des correctifs minimaux pour 7.4, 8.0 et 8.1, mais rien ne garantit qu’elle le fera pour les prochaines failles.
Ce que ça change pour votre site WordPress
WordPress est écrit en PHP. Chaque page que vous affichez passe par le moteur PHP de votre hébergeur. Ces failles ne sont donc pas « une faille WordPress » que vous corrigeriez en mettant à jour une extension : elles se trouvent sous WordPress, dans la couche que seul l’hébergeur ou l’administrateur du serveur peut mettre à jour. Trois situations :
- Votre hébergeur a mis PHP à jour le 21 octobre : vous êtes protégé, à condition que votre site utilise bien la version corrigée (certains hébergements laissent choisir la version PHP par site, et une ancienne version peut rester sélectionnée).
- Votre hébergeur n’a pas communiqué : vérifiez votre version PHP dans votre panneau d’hébergement, ou dans WordPress sous Outils > Santé du site > Informations > Serveur. Si elle est inférieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, demandez la mise à jour aujourd’hui.
- Votre site est en PHP 8.1 ou moins : un correctif minimal existe pour ces failles, mais ces versions ne sont plus maintenues. La seule protection durable est de migrer vers une version supportée, ce qui demande de vérifier la compatibilité du thème et des extensions.
Ce que nous avons fait pour nos clients
Tous les sites que nous hébergeons tournent sur une infrastructure en France, gérée par une équipe présente sur place 24h/24, qui a appliqué le correctif dès sa publication. Le 21 octobre, nos serveurs étaient en PHP 8.5.12, la version corrigée. Concrètement :
- Mise à jour appliquée le jour même, sans intervention de nos clients et sans interruption de service.
- Vérification site par site que la version PHP active est bien la version corrigée, et que WordPress, le thème et les extensions fonctionnent avec elle (quelques extensions émettent des avertissements de dépréciation sous PHP 8.5, sans incidence sur l’affichage ; nous les suivons).
- Clients prévenus de la faille et de sa correction, pour qu’ils n’aient pas à se poser la question.
- Aucune compromission constatée sur les sites que nous hébergeons et maintenons.
C’est exactement à cela que sert une maintenance : pas à « faire des mises à jour » de temps en temps, mais à ce que, le jour où une faille de ce niveau sort, personne n’ait à s’en occuper, parce que c’est déjà fait.
Et si votre site est hébergé ailleurs ?
Vérifiez votre version PHP dès aujourd’hui. Si vous ne savez pas comment, ou si votre hébergeur ne répond pas, trois interventions à prix unique :
- L’audit de sécurité WordPress (290 € HT) : version PHP, extensions vulnérables, fichiers modifiés, comptes, sauvegardes, listes noires, avec un rapport classé par urgence. Déduit si vous commandez ensuite la protection ou le nettoyage dans les 30 jours.
- La protection de site WordPress (390 € HT) : pare-feu, double authentification, mises à jour, sauvegardes hors site, surveillance.
- Le nettoyage de site WordPress piraté (440 € HT), prise en charge sous 24 heures, si le mal est fait.
Et si vous préférez ne plus jamais y penser : notre hébergement et maintenance web commence à 55 € HT par mois, sans engagement, migration comprise.
Questions fréquentes
Mon site WordPress est-il concerné par les failles PHP du 21 octobre 2026 ?
Oui, comme tout site WordPress : il fonctionne avec PHP. Il est protégé si son serveur utilise PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 au minimum. Vérifiez dans Outils > Santé du site > Informations > Serveur.
Comment savoir si mon hébergeur a appliqué le correctif ?
Regardez la version PHP affichée dans votre panneau d’hébergement ou dans la Santé du site de WordPress. Si elle est inférieure aux versions corrigées, demandez la mise à jour à votre hébergeur, ou faites-le vous-même si votre hébergement permet de choisir la version PHP.
Une mise à jour d’extension ou de WordPress suffit-elle ?
Non. Les failles sont dans le moteur PHP, sous WordPress. Seule la mise à jour de PHP sur le serveur les corrige. Aucune extension de sécurité ne peut les bloquer complètement : PHP l’a confirmé, ses recommandations de configuration n’offrent qu’une protection partielle.
Que faire si mon site est en PHP 8.1 ou plus ancien ?
Ces versions ne sont plus maintenues. Pour ces failles, PHP a exceptionnellement publié des correctifs minimaux, mais rien ne garantit qu’il le fera pour les suivantes. La seule protection durable est de migrer vers une version supportée, après avoir vérifié la compatibilité du thème et des extensions. C’est le type d’opération que comprend une maintenance web.
Comment êtes-vous certains que vos clients n’ont pas été touchés ?
Le correctif a été appliqué sur nos serveurs le jour de sa publication, et nos sites font l’objet d’une surveillance et de scans de sécurité. Nous avons vérifié la version PHP active site par site. Aucune compromission n’a été constatée.
Sources : avis de sécurité de la PHP Foundation (php.net et dépôt php-src) et fiches CVE-2026-109618 et CVE-2026-109619 du registre CVE et du NVD, 21 octobre 2026.
