WordPress et la faille PHP : ce qu'il faut régler aujourd'hui

WordPress est écrit en PHP. Chaque page demandée par un visiteur est construite par PHP sur le serveur. Les failles CVE-2026-109618 et CVE-2026-109619 se trouvent dans PHP lui-même, dans toutes les versions à partir de PHP 5, indique Help Net Security. Un attaquant n'a donc pas besoin de trouver une extension mal protégée : c'est le serveur lui-même qui est visé.

Connectez-vous et allez dans Outils > Santé du site > Infos. Ouvrez la rubrique Serveur. Vous y trouvez la version de PHP, par exemple 8.2.34.

• 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récent dans la même série : votre serveur est à jour.
• Un numéro plus bas dans ces séries : demandez à votre hébergeur de faire la mise à jour aujourd'hui.
• 8.1 ou plus ancien : aucun correctif ne viendra. Vous devez passer à une série plus récente.

Pas d'accès à votre administration ? La vérification PHP gratuite de Marketing Scan donne une première indication depuis l'extérieur.

Sur un hébergement mutualisé, l'hébergeur met PHP à jour de manière centralisée. Chez la plupart des hébergeurs, vous pouvez aussi choisir vous-même une série PHP dans le panneau de contrôle (par exemple 8.3), et l'hébergeur installe le dernier correctif de cette série.

Si vous avez votre propre serveur ou un VPS, c'est votre webdesigner ou votre gestionnaire qui est responsable. Demandez une confirmation avec le numéro de version exact.

Si vous êtes encore sur PHP 7.4 ou 8.0, le saut est plus grand. Les anciennes extensions et les anciens thèmes ne fonctionnent pas toujours sur 8.2 ou plus récent. Voici comment procéder en toute sécurité :

1. faites une sauvegarde complète (fichiers et base de données) ;
2. mettez d'abord WordPress, votre thème et toutes les extensions à jour vers leur dernière version ;
3. testez de préférence sur une copie de votre site (un environnement de staging, que la plupart des hébergeurs proposent) ;
4. changez ensuite la version de PHP et parcourez les pages les plus importantes : page d'accueil, formulaire de contact, panier et paiement.

Les extensions qui n'ont plus reçu de mise à jour depuis longtemps sont le plus grand risque. Mieux vaut les remplacer maintenant que plus tard.

Une boutique en ligne conserve des données clients et des commandes. Quelqu'un qui entre via la faille PHP peut consulter ces données ou manipuler l'étape de paiement. Après la mise à jour, vérifiez :

• que les commandes et les paiements se déroulent normalement ;
• qu'il n'y a pas d'administrateurs inconnus dans Utilisateurs ;
• que votre prestataire de paiement (Mollie, Stripe, Payconiq) ne signale pas d'anomalies.

En cas de fuite de données personnelles, vous devez la signaler dans les 72 heures à l'Autorité de protection des données.

Une extension de sécurité tourne elle-même dans PHP, après le moment où la faille est exploitée. Elle ne peut donc pas colmater la faille dans PHP. Un pare-feu devant votre site, comme celui de Cloudflare ou de votre hébergeur, peut en revanche freiner temporairement les attaques. Mais selon Patchstack, la mise à jour reste la seule solution complète.

Les failles PHP de cette ampleur sont rares, mais les failles dans les extensions ne le sont pas. Quelques habitudes qui font la différence :

• Choisissez une série PHP qui est encore activement prise en charge. Ainsi, un correctif arrive tout de suite en cas de nouvelle faille.
• Activez les mises à jour automatiques pour les petites versions de WordPress et pour les extensions en qui vous avez confiance.
• Faites le ménage. Chaque extension désactivée ou oubliée est une porte ouverte.
• Faites contrôler votre site chaque semaine. Avec un compte gratuit chez Marketing Scan, votre site est revérifié chaque semaine, y compris les versions de logiciels visibles, et vous recevez un message quand quelque chose change.

La différence entre un site qui doit passer hors ligne à la prochaine faille et un site mis à jour le jour même tient rarement à la technique. Elle tient à qui est responsable et à la vitesse à laquelle cette personne est prévenue.