Une alerte de sécurité importante concerne des milliers de sites web et de boutiques en ligne fonctionnant sous PHP. Le 21 octobre 2026, l'équipe de sécurité du langage a annoncé la publication de correctifs pour deux vulnérabilités critiques, qui pourraient, dans certaines conditions, permettre l'exécution de code à distance sans connexion préalable de l'utilisateur.
Quelles sont les versions corrigées ?
Selon l'annonce officielle, les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 intègrent ces correctifs. Ces deux vulnérabilités ont été classées comme particulièrement graves et les responsables de PHP recommandent une mise à jour immédiate. La série PHP 8.2 approche également de la fin de son cycle de support, fixée au 31 décembre 2026.
PHP est le langage exécuté sur le serveur derrière de nombreux systèmes de gestion de contenu et boutiques en ligne. Le visiteur peut consulter une page web normale sans savoir quelle version utilise la machine qui l'héberge.
En quoi cela concerne-t-il WordPress ?
WordPress repose sur PHP. Cela ne signifie toutefois pas que tous les sites WordPress sont exposés au même risque : le risque réel dépend de la version de PHP, de son mode d’exécution et de la configuration du serveur. L’annonce mentionne explicitement des environnements tels que PHP-FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed, en mettant particulièrement l’accent sur certaines configurations.
La mise à jour de WordPress ou des plugins ne remplace pas la mise à jour de PHP. Il s'agit de niveaux différents du système. Si le serveur reste sous une version vulnérable, la mise à jour du thème ou de WordPress ne suffit pas à remédier à ce problème spécifique.
Ce que doit faire le propriétaire d’un site web
- Vérifier auprès de son hébergeur quelle version de PHP est utilisée par le site.
- Demander si la version corrigée de la même série prise en charge a été installée ou si la mise à jour est prévue.
- Il demande une sauvegarde et un bref contrôle de compatibilité des plugins essentiels, du thème et du processus de paiement, avant toute modification en production.
- Après la mise en production, il teste les formulaires, la connexion des utilisateurs, les commandes de la boutique en ligne et les fonctionnalités d’administration.
- S’il utilise une version obsolète ou non prise en charge, il organise une migration sécurisée vers une version prise en charge.
Ce qu’il ne faut pas faire
Ne modifiez pas à l'aveuglette les paramètres du serveur et n'installez pas à la va-vite des fichiers provenant de sources inconnues. S’il y a un administrateur ou une société d’hébergement, la mise à jour doit être effectuée par une personne habilitée qui connaît bien l’installation en question. C’est là le juste équilibre entre sécurité et continuité des activités.
Conclusion
Cette annonce concerne des vulnérabilités réellement critiques de l’infrastructure et non une simple alerte relative à un plugin. Les administrateurs n’ont pas à céder à la panique, mais ils doivent vérifier dès aujourd’hui la version de leur serveur et leur plan de mise à jour sécurisée.
Source originale : PHP.net, Avis de sécurité du 21/10/2026 · WordPress.org News.