Deux failles critiques dans PHP : votre site WordPress est-il protégé ?

Deux importantes failles de sécurité découvertes dans PHP ont récemment poussé plusieurs organisations à mettre temporairement leurs sites Web hors ligne afin d’appliquer des correctifs d’urgence. Comme WordPress fonctionne avec PHP, cette actualité concerne directement les propriétaires de sites Web, les boutiques WooCommerce et les entreprises qui utilisent un système de gestion de contenu basé sur cette technologie.

Que s’est-il passé?

Les vulnérabilités identifiées sous les références CVE-2026-109618 et CVE-2026-109619 peuvent permettre l’exécution de code à distance sur certains serveurs PHP, sans authentification préalable. Dans certaines conditions, une personne malveillante pourrait exploiter ces failles pour exécuter des commandes sur un serveur, compromettre un site Web ou accéder à des informations sensibles. L’équipe responsable de PHP recommande d’installer immédiatement une version corrigée. Selon l’avis officiel, une simple mesure de contournement ne suffit pas : la mise à jour demeure la solution la plus sécuritaire.

Quelles versions de PHP corrigent les failles?

Les correctifs sont inclus dans les versions suivantes :

• PHP 8.2.35;
• PHP 8.3.36;
• PHP 8.4.27;
• PHP 8.5.12.

Si votre serveur utilise une version antérieure, communiquez rapidement avec votre hébergeur ou votre responsable technique pour vérifier si le correctif a été appliqué.

Votre site WordPress est-il automatiquement vulnérable?

Pas nécessairement. Le niveau de risque dépend notamment de la version de PHP installée, de la configuration du serveur et de la façon dont votre hébergeur gère les mises à jour de sécurité. Il est toutefois important de ne pas ignorer cette alerte. Même si WordPress, votre thème et vos extensions sont à jour, une vulnérabilité située directement dans PHP peut concerner l’environnement d’hébergement qui fait fonctionner votre site. Comment vérifier votre version de PHP? Dans WordPress, vous pouvez généralement consulter cette information dans :

• Outils → Santé du site → Informations → Serveur;
• Le panneau de gestion de votre hébergement;
• Les informations techniques fournies par votre hébergeur.

Vous pouvez également demander directement à votre fournisseur si votre serveur utilise l’une des versions corrigées de PHP.

Que devez-vous faire maintenant?

Avant toute modification, il est recommandé de suivre ces étapes :

• Effectuer une sauvegarde complète du site et de sa base de données;
• Vérifier la version de PHP utilisée par l’hébergement;
• Confirmer que le correctif de sécurité a été appliqué;
• Mettre à jour WordPress, les thèmes et les extensions;
• Tester les formulaires, les paiements et les fonctions importantes;
• Surveiller les journaux et les comportements inhabituels du site;
• Activer l’authentification multifacteur pour les comptes administrateurs.

Il est déconseillé de changer la version de PHP sans sauvegarde ni vérification préalable. Un ancien thème ou une extension abandonnée pourrait être incompatible avec la nouvelle version.

La maintenance Web est aussi une mesure de sécurité

Cette situation démontre qu’un site Web ne doit pas seulement être créé, puis oublié. WordPress, PHP, les extensions, les sauvegardes et l’hébergement doivent être régulièrement surveillés et mis à jour. Une maintenance préventive permet de réduire les risques, d’intervenir rapidement lorsqu’une faille est annoncée et d’éviter une interruption prolongée des services en ligne.

Faites vérifier votre site WordPress

3PEAKS Digital peut vérifier votre version de PHP, vos mises à jour WordPress, votre hébergement et la sécurité générale de votre site. Nous pouvons également effectuer une sauvegarde et préparer une mise à niveau sécurisée. Demandez une vérification de sécurité de votre site WordPress.