Faille PHP d’octobre 2026 :
votre site WordPress est-il concerné ?
Deux vulnérabilités critiques ont été corrigées le 21 octobre 2026. Les versions PHP 7.4, 8.0 et 8.1 ne recevront aucun correctif officiel.
Comment vérifier la version de votre site, et que faire selon votre situation.
Publié le 22 octobre 2026 : Mis à jour si la situation évolue
Le 21 octobre, l’équipe de PHP a publié quatre versions correctives pour deux vulnérabilités critiques notées 9,2 sur 10. Si vous gérez un site WordPress, WooCommerce, Prestashop ou n’importe quelle application en PHP, cet article vous concerne.
Ce qui s’est passé
Deux vulnérabilités critiques ont été identifiées dans PHP, le langage qui fait tourner la grande majorité des sites web, dont WordPress. Elles sont enregistrées sous les références CVE-2026-109618 et CVE-2026-109619, et toutes deux reçoivent une note de gravité de 9,2 sur 10.
Elles permettent, dans certaines conditions, l’exécution de code à distance sur le serveur. Autrement dit, la prise de contrôle du site, voire de l’hébergement, par un attaquant.
Particularité qui explique l’ampleur de l’alerte : ces failles sont présentes dans des versions de PHP remontant à 2004. Il ne s’agit donc pas d’une régression récente, mais d’un problème ancien découvert tardivement.
| Date | Ce qui s’est passé | Conséquence |
|---|---|---|
| 20 octobre 2026 | Une fuite sur un forum technique rompt l’embargo, puis l’équipe PHP confirme deux vulnérabilités critiques. Le CERT-EU publie son avis 2026-018. | Les failles sont connues avant d’être corrigées. |
| 21 octobre 2026 | Publication de PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, un peu avant l’heure annoncée. Les CVE sont enregistrées. | Le correctif existe. |
| 21 octobre 2026 | Cloudflare met à jour en urgence ses règles de pare-feu applicatif. | Protection partielle pour les sites derrière Cloudflare. |
Quelles versions sont corrigées
Le correctif n’existe que pour les branches encore maintenues. C’est le point qui va poser problème à beaucoup de sites.
| Branche PHP | Version corrigée du 21 octobre | Correctifs de sécurité jusqu’au |
|---|---|---|
| PHP 8.5 | 8.5.12 | 31 décembre 2029 |
| PHP 8.4 | 8.4.27 | 31 décembre 2028 |
| PHP 8.3 | 8.3.36 | 31 décembre 2027 |
| PHP 8.2 | 8.2.35 | 31 décembre 2026 |
| PHP 8.1 | aucune version officielle | fin de vie depuis le 31 décembre 2025 |
| PHP 8.0 et 7.4 | aucune version officielle | fin de vie depuis plusieurs années |
Pour PHP 7.4, 8.0 et 8.1, l’équipe de sécurité a publié des correctifs de code source minimaux, destinés aux équipes capables de recompiler PHP elles-mêmes. Ce n’est pas une solution pour un site hébergé de façon classique.
Comment savoir où en est votre site
Deux chemins, l’un comme l’autre accessibles sans compétence technique.
Depuis WordPress. Menu Outils, puis Santé du site, onglet Informations, section Serveur. La version de PHP y est indiquée. Un avertissement apparaît souvent si elle est obsolète.
Depuis votre hébergeur. La plupart des tableaux de bord proposent une rubrique de configuration PHP où la version est affichée et modifiable. Chez certains hébergeurs, le passage d’une version à l’autre se fait en un clic, ce qui est pratique et dangereux à la fois : sans test préalable, un site peut devenir inaccessible.
Ce que doit vous répondre votre prestataire
Trois questions suffisent à savoir si votre site est suivi sérieusement.
- Quelle version de PHP fait tourner mon site ? La réponse attendue est 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent. Une version 8.1 ou antérieure appelle une migration.
- Le correctif du 21 octobre a-t-il été appliqué ? Sur un hébergement mutualisé, c’est souvent l’hébergeur qui s’en charge, mais encore faut-il le vérifier.
- Existe-t-il une sauvegarde récente et exploitable ? Une sauvegarde qu’on n’a jamais essayé de restaurer n’est pas une sauvegarde.
Si ces trois réponses tardent ou restent floues, c’est déjà une information en soi.
Que faire selon votre situation
Vous êtes en PHP 8.2 à 8.5
Vérifiez que la version corrigée du 21 octobre est bien installée. Si votre hébergeur ne l’a pas encore déployée, demandez-lui son calendrier. Et si vous êtes en 8.2, planifiez dès maintenant le passage en 8.3 ou 8.4 : son support s’arrête le 31 décembre 2026.
Vous êtes en PHP 8.1, 8.0 ou 7.4
Il n’y a pas de correctif pour vous, et il n’y en aura pas. La migration n’est plus une optimisation, c’est une nécessité. Elle demande une méthode : sauvegarde complète, duplication du site en préproduction, bascule de version, test du thème, de chaque extension, des formulaires et du tunnel de commande, puis mise en production et contrôle.
Comptez une demi-journée pour un site vitrine simple, davantage pour une boutique en ligne ou un site avec des développements sur mesure.
Vous ne savez pas
C’est le cas le plus courant, et ce n’est pas un aveu d’incompétence : un site livré il y a quatre ans par un prestataire devenu injoignable, personne ne sait plus sur quoi il tourne. Commencez par la page Santé du site dans WordPress, ou demandez-nous un audit gratuit.
Ce que cet épisode dit de la maintenance
Une faille critique dans PHP, ça arrive. Ce qui distingue un site bien suivi d’un site abandonné, ce n’est pas la faille, c’est le temps qu’il faut pour y répondre.
Un site maintenu tourne déjà sur une branche supportée, dispose de sauvegardes testées, et reçoit le correctif en quelques jours. Un site laissé seul depuis trois ans tourne en PHP 7.4, n’a pas de sauvegarde exploitable, et ne recevra jamais de correctif.
Chez Crimson Factory, nous suivons plus de 100 sites en maintenance, dont une partie a été développée par d’autres agences. L’abonnement démarre à 500 € HT par an, et il comprend exactement ce genre de situation : la veille, le correctif appliqué vite, et quelqu’un à qui parler sans passer par un système de tickets.
Questions fréquentes sur la faille PHP d’octobre 2026
Mon site WordPress est-il concerné par la faille PHP d'octobre 2026 ?
Tout site qui tourne sous PHP est concerné tant que la version installée n’a pas été corrigée. Les vulnérabilités touchent des versions de PHP remontant à 2004. Votre site est protégé une fois passé en PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent.
Comment connaître la version de PHP de mon site ?
Chez la plupart des hébergeurs, l’information figure dans le tableau de bord, souvent dans une rubrique « Version de PHP » ou « Configuration PHP ». Dans WordPress, elle apparaît aussi dans Outils puis Santé du site, onglet Informations, section Serveur.
Mon site est en PHP 7.4, 8.0 ou 8.1, que faire ?
Ces branches sont en fin de vie et ne reçoivent aucune version officielle corrigée. La seule solution est de migrer vers une version maintenue. Visez PHP 8.3 ou plus récent, après avoir vérifié en préproduction que votre thème et vos extensions la supportent.
Pourquoi ne pas simplement passer en PHP 8.2 ?
Parce que son support de sécurité s’arrête le 31 décembre 2026. Y migrer en octobre vous obligerait à recommencer deux mois plus tard. Autant viser directement 8.3 ou 8.4.
Changer de version de PHP peut-il casser mon site ?
C’est le risque réel, et c’est pour cela qu’on ne bascule pas à l’aveugle. La bonne méthode : une sauvegarde complète, un test en préproduction, la vérification du thème et de chaque extension, puis la bascule et un contrôle des pages sensibles comme les formulaires et le tunnel de commande.
Mettre à jour WordPress suffit-il ?
Non. WordPress et PHP sont deux choses distinctes : PHP est le langage exécuté par le serveur, WordPress est l’application qui tourne dessus. Un WordPress parfaitement à jour sur un PHP obsolète reste exposé.
Que faire si je n'ai pas de prestataire pour s'en occuper ?
Écrivez-nous l’adresse de votre site. Nous regardons gratuitement la version de PHP, l’état des mises à jour et l’existence de sauvegardes exploitables, puis nous vous disons ce qu’il en est, sans engagement. C’est l’objet de notre audit gratuit.
Faites vérifier votre site, gratuitement
Envoyez-nous son adresse. Nous regardons la version de PHP, l’état des mises à jour et la présence de sauvegardes, puis nous vous disons ce qu’il en est. Sans engagement.