PHP : une faille critique touche de nombreux sites, que faire ?

Le 21 octobre 2026, le CERT-FR, le centre d'alerte de l'État pour la cybersécurité, a publié une alerte au sujet de PHP. C'est un logiciel qui fait fonctionner de nombreux sites internet, souvent sans que leurs propriétaires le sachent. Les deux failles concernées sont jugées critiques. Voici ce que cela veut dire pour votre site.

De quoi s'agit-il ?

Le CERT-FR indique que ces failles permettent à un attaquant de provoquer une « exécution de code arbitraire à distance ». En clair, une personne mal intentionnée pourrait faire exécuter ses propres commandes sur le serveur qui héberge votre site, depuis internet.

Les correctifs ont été publiés par PHP le 21 octobre. Le 22 octobre, le CERT-FR a ajouté qu'il a connaissance de preuves de concept, c'est-à-dire de démonstrations qui montrent que l'attaque fonctionne, pour des configurations précises de PHP.

Votre site est-il concerné ?

Il l'est si le serveur qui l'héberge utilise PHP dans l'une des versions suivantes :

• toutes les versions 5.x, 7.x, 8.0.x et 8.1.x ;
• les versions 8.2.x antérieures à 8.2.35 ;
• les versions 8.3.x antérieures à 8.3.36 ;
• les versions 8.4.x antérieures à 8.4.27 ;
• les versions 8.5.x antérieures à 8.5.12.

Les versions 5.x, 7.x, 8.0.x et 8.1.x ne sont plus suivies par l'éditeur. Il n'y a donc pas de correctif prévu pour elles. Le CERT-FR recommande d'isoler les équipements concernés, puis de passer à une version maintenue.

Vous ne connaissez pas la version de PHP de votre site ? C'est normal. C'est l'information à demander à la personne qui s'en occupe.

Si votre site est chez un hébergeur

C'est le cas de la plupart des commerçants. Écrivez au support de votre hébergeur, ou à la personne qui a créé votre site, et posez ces deux questions :

1. Quelle version de PHP utilise mon site ?
2. Cette version est-elle corrigée après l'alerte du 21 octobre ?

Si la réponse est une version ancienne, demandez la date prévue du passage à une version maintenue. Gardez la réponse par écrit. Certains sites anciens ne fonctionnent plus après un changement de version : c'est une raison de le prévoir tout de suite plutôt que dans l'urgence.

Si vous gérez vous-même le serveur

Mettez PHP à jour vers l'une des versions corrigées : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou une version plus récente de la même série. Si vous utilisez une version qui n'est plus suivie, il faut changer de série.

Le CERT-FR cite aussi des mesures temporaires, comme désactiver une fonction de suivi des envois de fichiers ou bloquer certaines requêtes. Il précise qu'il ne les a pas vérifiées lui-même. Elles ne remplacent pas la mise à jour, et il vaut mieux les confier à un professionnel.

Ce que vous pouvez faire dès aujourd'hui

Envoyez le message à votre hébergeur ou à votre prestataire. C'est le geste le plus utile, et il prend cinq minutes. Ensuite, vérifiez que vous savez qui s'occupe des mises à jour de votre site. Si la réponse est « personne », c'est le vrai sujet.

Si vous voulez de l'aide pour savoir où en est votre site, je propose un audit gratuit. Vous repartez avec un état des lieux de votre site.