Mercredi 21 octobre, deux failles critiques ont été corrigées dans PHP, le langage qui fait tourner WordPress. Tous les sites hébergés par NEXAGO ont été mis à jour l'après-midi même, 10 minutes après la sortie du correctif.
Si vous avez vu passer l'alerte dans la presse ou sur LinkedIn ces derniers jours, vous vous êtes peut-être demandé si votre site était concerné. On vous explique ce qui s'est passé, ce qu'on a fait, et ce qu'il faut vérifier si votre site est hébergé ailleurs.
Résumé
Une faille critique dans PHP, ça arrive. Ce qui fait la différence, c'est le temps qui sépare la publication du correctif de son installation. Pour nos clients, ce délai a été de quelques minutes.
Vous avez un doute sur votre site, ou vous aimeriez qu'on s'occupe de sa maintenance pour ne plus avoir à y penser ? Contactez-nous, on regarde ça ensemble.
Ce qui s'est passé
Le 20 octobre, l'équipe de sécurité de PHP a prévenu qu'une mise à jour urgente arrivait le lendemain. Elle corrige deux failles, référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 en gravité. C'est le haut de l'échelle.
Concrètement, ces failles pouvaient permettre à un pirate de faire exécuter ses propres commandes sur un serveur, à distance et sans mot de passe. Pas besoin de connaître votre site ni d'avoir un compte dessus : une simple requête bien construite pouvait suffire. Une fois ce type d'accès obtenu, un attaquant peut installer un logiciel malveillant, voler des données ou se servir du serveur pour d'autres attaques.
PHP fait tourner une très grande partie du web, dont tous les sites WordPress. L'alerte concernait donc potentiellement des millions de sites, quelle que soit leur taille. Le CERT-EU, l'équipe de cybersécurité des institutions européennes, a d'ailleurs relayé l'alerte en recommandant de se tenir prêt à mettre à jour immédiatement.
Le correctif est sorti le 21 octobre, un peu avant l'heure annoncée, sous la forme de nouvelles versions de PHP : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Ce que nous avons fait
Dès l'alerte, nous avons fait l'inventaire de nos serveurs : quelle version de PHP tourne, et pour quel site. Bonne nouvelle, tous les sites que nous hébergeons utilisaient déjà des versions récentes et maintenues de PHP. Aucun n'était bloqué sur une version obsolète qui n'aurait jamais reçu de correctif.
Ensuite, on a attendu le bon correctif plutôt que de bricoler. Nos serveurs fonctionnent avec Plesk, qui fournit ses propres versions de PHP testées. Changer de version dans l'urgence n'aurait rien protégé, puisque toutes les versions étaient concernées, et aurait pu casser des sites au pire moment.
Plesk a publié ses mises à jour le jour même. Nous les avons installées dans la foulée, serveur par serveur, en commençant par le plus petit pour vérifier que tout se passait bien. Les services PHP ont redémarré automatiquement, avec une coupure de quelques secondes à peine. Nous avons ensuite contrôlé que chaque serveur tournait bien sur la version corrigée et testé plusieurs sites, dont des boutiques en ligne.
Vous n'avez rien eu à faire. C'est exactement pour ce genre de journée qu'existe la maintenance.
Votre site n'est pas hébergé par NEXAGO ?
Trois vérifications simples à faire, ou à demander à votre prestataire :
- Quelle version de PHP utilise votre site ? Dans WordPress, allez dans Outils, puis Santé du site, onglet Infos, rubrique Serveur. Le numéro de version y est indiqué.
- Est-elle encore maintenue ? Seules les branches 8.2, 8.3, 8.4 et 8.5 ont reçu le correctif officiel. Si votre site tourne en PHP 8.1, 8.0, 7.4 ou plus ancien, il n'est pas protégé par la mise à jour standard. Il faut changer de version ou vérifier que votre hébergeur applique un correctif de son côté.
- Votre hébergeur a-t-il mis à jour ? Sur un hébergement mutualisé, c'est lui qui s'en charge. Sur un serveur que vous gérez vous-même, c'est à vous de le faire, et vite : après ce type d'annonce, les pirates analysent les correctifs pour attaquer les serveurs restés en retard.
Autre point à garder en tête : PHP 8.2 ne recevra plus aucun correctif de sécurité après le 31 décembre 2026. Si votre site l'utilise encore, c'est le moment de prévoir le passage à une version plus récente.