Faille PHP du 21 octobre 2026 : votre site WordPress est-il concerné ? Que faire aujourd’hui

Ce qui s’est passé

• 20 octobre : PHP annonce une mise à jour de sécurité critique pour le lendemain. Les détails fuitent le jour même ; les failles sont surnommées « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619).
• 21 octobre au matin : Cloudflare signale les premières tentatives d’attaque. Des services publics sont coupés par précaution, dont DigiD aux Pays-Bas.
• 21 octobre, 16 h (heure de Paris) : PHP publie les versions corrigées. Le CERT-FR, l’autorité française de cybersécurité, publie une alerte.

À 16 h, Patchstack, spécialiste de la sécurité WordPress, ne voyait encore que des tentatives, sans intrusion confirmée. Ça ne durera pas : dès qu’une faille est publique, des robots testent des milliers de sites à la chaîne.

Pourquoi un WordPress à jour n’est pas protégé

La faille n’est pas dans WordPress ni dans une extension : elle est dans PHP, le langage qui fait tourner WordPress sur le serveur. Mettre à jour WordPress ou vos extensions ne change donc rien. C’est la version de PHP installée chez votre hébergeur qui compte.

Sont exposés :

• PHP 8.5 avant 8.5.12, 8.4 avant 8.4.27, 8.3 avant 8.3.36, 8.2 avant 8.2.35 ;
• toutes les versions 8.1 et plus anciennes, qui ne reçoivent plus aucun correctif de PHP. Beaucoup de petits sites tournent encore dessus.

Vérifier votre site en deux minutes

Dans l’administration WordPress, ouvrez Outils > Santé du site, onglet Informations, puis la section Serveur : la ligne « Version de PHP » vous donne la réponse.

• 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus : le correctif est appliqué.
• Un numéro inférieur : demandez confirmation à votre hébergeur. Certains appliquent le correctif sans changer le numéro affiché, d’autres pas encore.
• 8.1 ou moins : votre site est exposé tant que PHP n’est pas mis à jour.

Pas d’accès à l’administration ? Posez simplement la question à la personne qui a créé votre site.

Que faire aujourd’hui

1. Écrivez à votre hébergeur, même si la version semble correcte. Message type : « Bonjour, mon site [adresse] tourne-t-il sur une version de PHP corrigée contre les failles CVE-2026-109618 et CVE-2026-109619 publiées le 21 octobre 2026 ? Si non, quand sera-t-elle appliquée ? »
2. Si vous êtes en PHP 8.1 ou moins, demandez le passage à PHP 8.4 ou 8.5. Sur un vieux site, ce changement peut casser une extension : faites une sauvegarde avant, et testez le site juste après.
3. N’installez pas d’extension « anti-faille PHP » trouvée en urgence, ni de code copié depuis un forum. Une extension ne peut pas corriger PHP, et certaines sont elles-mêmes piégées.
4. Si votre site traite des données sensibles (comptes clients, paiements) et que la mise à jour tarde, envisagez de le passer en maintenance quelques heures.

Et si votre site a déjà été piraté ?

Signes qui doivent alerter : comptes administrateurs que vous n’avez pas créés, pages ou redirections inconnues, site très lent ou erreurs à répétition, alerte de Google dans la Search Console.

• Faites mettre PHP à jour d’abord, puis faites nettoyer le site ou restaurer une sauvegarde saine.
• Changez tous les mots de passe liés au site : administration WordPress, base de données, accès FTP de l’hébergeur, clés d’API de vos outils (paiement, emails).
• Si des données personnelles ont pu fuiter (clients, formulaires, comptes) et que la fuite présente un risque pour les personnes, le RGPD vous impose de la signaler à la CNIL dans les 72 heures après l’avoir découverte.
• Pour être accompagné, Cybermalveillance.gouv.fr vous oriente vers un prestataire près de chez vous, et vous pouvez porter plainte.

Ce que ça dit de la sécurité d’un site

C’est la deuxième alerte majeure de l’année pour les sites WordPress, après la faille wp2shell dans le cœur de WordPress en juillet. Mais aucune technologie n’est à l’abri. Je construis mes sites en Next.js, sans PHP : ils ne sont pas concernés par cette faille-ci, mais Next.js a eu la sienne fin 2025, que je raconte dans l’article sur React2Shell.

La différence entre un site piraté et un site épargné tient rarement à la technologie. Elle tient à une question : quelqu’un surveille-t-il les alertes, et applique-t-il le correctif le jour où il sort ?

En résumé

Si personne ne s’occupe de votre site aujourd’hui, c’est le rôle du suivi mensuel : mises à jour, correctifs de sécurité, sauvegardes et un compte rendu chaque mois, dès 49 € et sans engagement, y compris pour un site WordPress existant. Pour un premier contrôle gratuit, lancez l’audit de votre site.