Le 21 octobre 2026, PHP a publié des correctifs d’urgence pour deux failles critiques, baptisées PHP2Shell. Tous les sites WordPress fonctionnent avec PHP : la vraie question n’est donc pas de savoir si votre site est concerné, mais sur quelle version de PHP il tourne. Si c’est PHP 8.1 ou une version plus ancienne, il n’existe aucun correctif officiel. Voici comment vérifier la version PHP WordPress de votre site en deux minutes, ce qu’il faut faire selon le résultat, et pourquoi ce genre d’alerte se gère beaucoup plus sereinement quand une maintenance est en place.
Au sommaire
- Faille PHP2Shell : ce qui s’est passé le 21 octobre
- Votre site WordPress est-il concerné ?
- Comment connaître la version PHP de votre site
- Version PHP WordPress : quelle version choisir
- Mettre à jour PHP sans casser son site
- La même semaine : des clés UpdraftCentral détournées
- Sécurité WordPress : le rôle de la maintenance
- Questions fréquentes
Faille PHP2Shell : ce qui s’est passé le 21 octobre 2026
PHP2Shell désigne deux failles de sécurité du langage PHP, référencées CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur 10 en gravité. Elles permettent à un attaquant d’exécuter du code sur le serveur sans aucun identifiant, simplement en envoyant une requête au site. Une fois ce code exécuté, il peut voler des données, modifier des pages ou installer une porte dérobée pour revenir plus tard.
Tout s’est joué en quarante-huit heures :
- 20 octobre : les failles fuitent sur un forum avant leur publication officielle. L’équipe PHP publie un avis de sécurité, suivi par les agences de cybersécurité européennes.
- 21 octobre : les correctifs sortent en milieu d’après-midi, heure de Paris. Le même jour, Cloudflare indique avoir observé des premières tentatives d’attaque, et des codes d’exploitation circulent publiquement.
- Dans les heures qui suivent : de nombreux sites sont mis temporairement hors ligne, le temps que leur hébergeur applique les correctifs.
Le point le plus préoccupant concerne les anciennes versions. Selon des relevés cités par CybelAngel, plus de la moitié des serveurs PHP exposés en France (54 %) tournent sur une version qui ne reçoit plus de correctifs officiels. Pour ces serveurs, il n’y a pas de mise à jour à installer : il faut changer de version.
Votre site WordPress est-il concerné ?
Oui, votre site internet est concerné à 100%. WordPress, WooCommerce, Joomla ou Drupal sont écrits en PHP, et les chercheurs de Wiz indiquent avoir réussi l’attaque sur des sites WordPress, Drupal et Joomla. La seule question utile est donc : quelle version de PHP fait tourner votre site, et a-t-elle été corrigée depuis le 21 octobre ?
Attention à une confusion fréquente : mettre à jour WordPress ou ses extensions ne change rien. PHP est le moteur qui fait tourner le site, installé chez l’hébergeur. Un site WordPress parfaitement à jour peut rester exposé si le serveur qui l’héberge n’a pas été corrigé.
Trois situations se présentent :
- Hébergement mutualisé (o2switch, OVHcloud, Ionos…) : l’hébergeur corrige ses serveurs, mais c’est souvent vous qui choisissez la version de PHP de votre site dans l’espace client. Sur les anciennes branches (8.1 et avant), certains hébergeurs proposent des correctifs adaptés, d’autres non : c’est à vérifier auprès d’eux.
- Serveur dédié ou VPS : la mise à jour de PHP est à votre charge, ou à celle de votre prestataire.
- Site géré par une agence : demandez une confirmation écrite que les correctifs sont installés, pas seulement prévus.
Il est impératif de faire une sauvegarde avant n’importe quelle manipulation. Vous risquez de planter votre site internet, et de tout perdre si vous n’avez pas de backup.
Comment connaître la version PHP de votre site WordPress
Deux minutes suffisent, sans rien installer :
- Connectez-vous à l’administration de votre site WordPress.
- Ouvrez Outils > Santé du site, puis l’onglet Infos.
- Dépliez la section Serveur : la ligne « Version de PHP » affiche la version exacte, par exemple 8.3.36.
Vous pouvez aussi la retrouver dans l’espace client de votre hébergeur (voir aussi pourquoi l’hébergement compte pour votre activité), généralement dans une rubrique « Sélecteur de version PHP » ou « Configuration PHP ». Si vous n’avez accès ni à l’un ni à l’autre, c’est déjà une information : quelqu’un d’autre gère votre site, et c’est à lui qu’il faut poser la question.
Notez le numéro complet, pas seulement « 8.3 ». Sur les versions 8.2 à 8.5, c’est le dernier nombre qui indique si le correctif PHP2Shell est appliqué.
Version PHP WordPress : quelle version choisir en 2026 ?
La dernière version PHP, la 8.5, est elle aussi corrigée, mais toutes les extensions ne la prennent pas encore en charge : pour un site d’entreprise, la 8.3 reste le choix le plus sûr. Côté WordPress, la version 7 fonctionne à partir de PHP 7.4, mais WordPress recommande PHP 8.3 ou plus récent. Un site encore en PHP 7.4 s’affiche normalement : il n’est simplement plus protégé.
Mettre à jour PHP sur WordPress sans casser son site
Changer de version de PHP se fait souvent en un clic chez l’hébergeur. C’est justement le piège : sur un site qui a quelques années, ce clic peut provoquer une page blanche ou un message « Il y a eu une erreur critique sur ce site ». Voici la méthode que nous appliquons :
- Sauvegarder le site complet, fichiers et base de données, et vérifier que la sauvegarde se restaure.
- Mettre à jour WordPress, le thème et les extensions avant de toucher à PHP : ce sont eux qui doivent être compatibles avec la nouvelle version.
- Repérer les extensions abandonnées, sans mise à jour depuis plus d’un an : ce sont elles qui cassent le plus souvent lors d’un changement de PHP.
- Tester sur une copie du site quand c’est possible, en particulier pour une boutique WooCommerce.
- Changer la version de PHP, vider les caches, puis contrôler les pages clés : accueil, formulaires de contact, panier et paiement.
- Surveiller le journal d’erreurs dans les jours qui suivent.
Si votre site tourne encore sur PHP 7.4 ou 8.0, le saut jusqu’à 8.3 est important : prévoyez du temps pour les corrections, ou commencez par un audit de votre site. C’est souvent à ce moment qu’on découvre qu’un site repose sur des outils qui ne sont plus maintenus, et qu’une refonte revient moins cher que de le maintenir en vie artificiellement. Les signes qu’un site a besoin d’une refonte sont souvent déjà là.
La même semaine : des clés UpdraftCentral détournées
PHP2Shell n’est pas arrivée seule. Le week-end des 17 et 18 octobre, l’éditeur de l’extension de sauvegarde UpdraftPlus a subi une intrusion. Des clés de connexion à son service de gestion à distance, UpdraftCentral, ont été dérobées, puis utilisées dès le 19 octobre pour installer des extensions piégées sur des sites WordPress. L’éditeur ne peut pas révoquer ces clés à distance : il faut les supprimer site par site.
Si vous utilisez UpdraftPlus Premium avec UpdraftCentral, supprimez les clés de connexion dont vous ne vous servez pas, puis vérifiez la liste des extensions installées et celle des comptes administrateurs. Selon les analyses publiées, la version gratuite d’UpdraftPlus n’est pas concernée par cet incident. Si vous trouvez une extension que personne n’a installée, suivez notre guide site WordPress piraté : que faire dans l’heure.
Deux alertes majeures en une semaine, sur deux couches différentes du site : le serveur d’un côté, une extension très répandue de l’autre. C’est exactement le type de situation où la sécurité d’un site WordPress ne peut pas reposer sur une vérification de temps en temps.
Sécurité WordPress : pourquoi la maintenance fait la différence
Une faille comme PHP2Shell ne laisse pas le temps de réfléchir : les premières tentatives d’attaque arrivent dans les heures qui suivent la publication. Pour un dirigeant de TPE, le problème n’est pas de comprendre la faille. C’est de savoir le jour même si son site est exposé, et qui s’en occupe.
Chez ARC EN SOFT, nous assurons la maintenance WordPress de plus de 100 sites WordPress et WooCommerce de TPE et PME des Hauts-de-France et de Wallonie. Sur un site sous contrat, une alerte de ce type se traite ainsi :
- Inventaire immédiat : grâce à notre supervision centralisée, nous savons quelle version de PHP fait tourner chaque site, sans attendre qu’un client nous appelle.
- Correction côté serveur : vérification que l’hébergeur a bien appliqué les correctifs, ou passage vers une version corrigée.
- Contrôle du site après la mise à jour : formulaires, paiement, affichage, journal d’erreurs.
- Recherche de traces d’intrusion : fichiers PHP inattendus, nouveaux comptes administrateurs, extensions inconnues.
- Sauvegardes externalisées : si le pire arrive, le site est restauré à partir d’une copie saine.
- Un interlocuteur joignable par téléphone, qui connaît votre site.
Notre propre site, arcensoft.com, tourne déjà sur PHP 8.3.36, la version corrigée. Mais au-delà des urgences, c’est le travail de fond qui protège un site : des mises à jour testées chaque mois, une version de PHP suivie dans le temps, et une alerte avant la fin de support plutôt qu’après. Pour un site vitrine comme pour une boutique, c’est ce suivi qui évite d’en arriver à la remise en état après piratage. La fin de PHP 8.2, le 31 décembre 2026, en sera le prochain exemple.
Vous préférez gérer votre site vous-même ? Notre formation WordPress, éligible au CPF, consacre une partie aux mises à jour et aux sauvegardes.
Votre site tourne-t-il sur une version de PHP corrigée ?
Nous vérifions la version de PHP de votre site, l’état de ses extensions et de ses sauvegardes, puis nous vous disons clairement ce qui doit être fait, sur le principe de notre audit de site. Même si votre site n’a pas été créé par ARC EN SOFT.
Questions fréquentes sur la faille PHP et la version PHP de WordPress
Qu’est-ce que la faille de sécurité PHP2Shell ?
PHP2Shell regroupe deux failles critiques du langage PHP (CVE-2026-109618 et CVE-2026-109619), corrigées le 21 octobre 2026. Elles permettent d’exécuter du code sur le serveur sans identifiant, simplement en envoyant une requête au site. Tous les sites PHP sont concernés, dont WordPress et WooCommerce.
Mettre à jour WordPress suffit-il à me protéger ?
Non. La faille se trouve dans PHP, le moteur installé sur le serveur, pas dans WordPress. Il faut que la version de PHP elle-même soit corrigée : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 au minimum selon la branche.
Comment connaître la version PHP de mon site WordPress ?
Dans l’administration WordPress, ouvrez Outils > Santé du site, onglet Infos, section Serveur. La ligne « Version de PHP » affiche le numéro complet. Vous pouvez aussi la consulter dans l’espace client de votre hébergeur.
Quelle version de PHP choisir pour WordPress ?
PHP 8.3 est aujourd’hui le meilleur choix pour la plupart des sites : c’est la version recommandée par WordPress, et elle reçoit des correctifs de sécurité jusqu’à fin 2027. Vérifiez qu’il s’agit bien de la 8.3.36 ou d’une version ultérieure. PHP 8.4 convient aussi si votre thème et vos extensions sont compatibles.
Mon site est encore en PHP 7.4 : que risque-t-il ?
PHP 7.4 ne reçoit plus aucun correctif officiel. Votre site reste exposé à PHP2Shell et aux failles à venir, même s’il s’affiche normalement. Le passage à PHP 8.3 demande souvent quelques corrections : sauvegardez, mettez à jour les extensions et testez avant de basculer.
Mon hébergeur ne s’occupe-t-il pas de tout ?
Il corrige ses serveurs, mais il ne choisit pas toujours la version de PHP de votre site et ne vérifie pas que votre site fonctionne après le changement. Demandez-lui une confirmation que les correctifs sont installés, et vérifiez la version affichée dans WordPress. Nos offres d’hébergement incluent ce suivi.
Que faire si je pense que mon site a été piraté ?
Ne supprimez rien dans la précipitation et ne restaurez pas une sauvegarde au hasard. Changez les mots de passe, prévenez votre hébergeur et suivez les étapes de notre guide site WordPress piraté.
Combien coûte la maintenance d’un site WordPress ?
Comptez généralement entre 50 € et 600 € HT par mois selon le type de site, vitrine ou e-commerce, et le niveau d’accompagnement. Chez ARC EN SOFT, le contrat de maintenance WordPress est sans engagement de durée et inclut le support téléphonique.
Article rédigé par l’équipe d’ARC EN SOFT, agence web à Valenciennes depuis 2006, organisme de formation certifié Qualiopi et Activateur France Num. Nous assurons la maintenance et la sécurité des sites WordPress de TPE et PME des Hauts-de-France et de Wallonie.
Sources : Centre canadien pour la cybersécurité, alerte AL26-026 ; IT-Connect, correctifs d’urgence PHP2Shell ; Malwarebytes ; CybelAngel, exposition des serveurs PHP ; IT-Connect, incident UpdraftCentral ; WPMarmite, WordPress 7.0.
