Le 21 octobre 2026, PHP a corrigé deux failles critiques qui touchent la quasi-totalité des sites WordPress et des boutiques WooCommerce. Votre site est à jour ? Face à cette faille, ce n’est pas forcément suffisant. Je vous explique pourquoi, comment vérifier en deux minutes, et quoi faire si ce n’est pas le cas.
Failles CVE-2026-109618 et CVE-2026-109619 : ce qui s’est passé
PHP, c’est le langage qui fabrique les pages de votre site à chaque visite. WordPress, WooCommerce, PrestaShop ou Joomla fonctionnent tous grâce à lui.
Le 20 octobre, l’équipe de sécurité de PHP a annoncé deux failles (CVE-2026-109618 et CVE-2026-109619), notées 9,2 sur 10. Concrètement, elles permettent à un pirate de prendre la main sur le serveur d’un site à distance, sans identifiant. Le correctif est sorti le lendemain, le 21 octobre à 16 h.
Particularité de cette faille : elle a été découverte par des chercheurs en sécurité avec l’aide de l’intelligence artificielle. Elle était cachée dans le code de PHP depuis plus de dix ans.
Et les pirates n’ont pas attendu : selon la société de sécurité Sansec, les premières attaques ont été repérées dès le matin du 21, avant même la publication du correctif. Autrement dit, ce n’est pas une menace théorique.
Pourquoi mettre à jour WordPress ne suffit pas
C’est le piège de cette faille : elle ne se trouve pas dans WordPress, mais dans PHP, le moteur qui tourne sur le serveur. Un site WordPress parfaitement à jour, avec toutes ses extensions à jour, reste exposé si la version de PHP de son hébergement n’a pas été corrigée.
Pour la même raison, une extension de sécurité ou le mode maintenance ne vous protègent pas. Le correctif doit être installé sur le serveur lui-même.
Vérifier votre version de PHP
Dans l’administration de WordPress, ouvrez Outils › Santé du site, onglet Infos, rubrique Serveur. Vous y trouverez la version de PHP de votre site.
| Branche PHP | Version corrigée à partir de |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 ou plus ancienne | Aucun correctif : il faut changer de version |
Attention : certains hébergeurs, comme Infomaniak, appliquent le correctif sans changer le numéro de version affiché. Si votre version semble antérieure, consultez la page de statut de votre hébergeur ou demandez-lui confirmation avant de vous inquiéter.
Si votre site tourne encore sous PHP 8.1 ou plus ancien, aucun correctif officiel n’existe. La seule solution est de passer à une version récente, après avoir vérifié que le thème et les extensions la supportent. Petit conseil au passage : PHP 8.2 ne sera plus maintenu après le 31 décembre 2026, donc autant viser directement 8.3 ou 8.4.
Comment protéger votre site WordPress et votre boutique WooCommerce
Sur un hébergement mutualisé (Infomaniak, OVH, IONOS…), c’est l’hébergeur qui installe le correctif sur ses serveurs. Votre rôle : vérifier que c’est fait, et que votre site utilise bien une version prise en charge. En cas de doute, un message à son support suffit : « Pouvez-vous me confirmer que le correctif PHP du 21 octobre 2026 est appliqué sur mon hébergement ? »
Sur un serveur dédié ou un VPS, c’est à vous (ou à votre prestataire) d’installer la mise à jour, sur chaque version de PHP présente sur la machine.
Vous avez une boutique en ligne ? Après la mise à jour, prenez dix minutes pour tester ce qui fait rentrer l’argent : ajout au panier, passage de commande, paiement, espace client, e-mails de confirmation. Un changement de version de PHP peut faire tousser une vieille extension sans prévenir.
Pas le temps de vérifier ? Je m’en occupe
Pour mes clients en maintenance, c’est déjà fait : versions de PHP vérifiées et mises à jour, sites contrôlés, boutiques testées.
Vous n’êtes pas encore client ? Que vous soyez à Grenoble, à Genève ou ailleurs, je peux vérifier votre site, faire le nécessaire sur votre hébergement ou vous dire exactement quoi demander à votre hébergeur. Et si vous préférez ne plus avoir à vous poser la question à la prochaine alerte, c’est précisément le rôle de ma maintenance WordPress : veiller sur votre site pendant que vous vous occupez de votre activité.
Un doute sur votre site ? Parlons-en.
Questions fréquentes sur la faille PHP d’octobre 2026
Mon site WordPress est-il touché par la faille PHP ?
Presque tous les sites WordPress et WooCommerce étaient concernés. Votre site est protégé s’il tourne sur PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récent, ou si votre hébergeur confirme avoir appliqué le correctif, car certains le font sans changer le numéro de version.
Mettre à jour WordPress et mes extensions suffit-il ?
Non. La faille est dans PHP, le logiciel du serveur, pas dans WordPress. Il faut que la version de PHP de votre hébergement soit corrigée.
Une extension de sécurité me protège-t-elle ?
Non. Une extension comme Wordfence agit au niveau de WordPress, alors que la faille se situe en dessous, dans PHP.
Qui doit installer le correctif ?
Sur un hébergement mutualisé, c’est votre hébergeur. Sur un VPS ou un serveur dédié, c’est vous ou votre prestataire. Dans les deux cas, vérifiez la version affichée dans Outils › Santé du site.