Faille PHP 2026 : votre site est-il concerné et que faire ?

Le 21 octobre 2026, PHP a publié des correctifs pour deux failles critiques, surnommées « PHP2Shell ». La plupart des sites WordPress, PrestaShop ou WooCommerce fonctionnent avec PHP : ils sont concernés. Certains hébergeurs ont déjà coupé des sites restés sur une version ancienne.

La faille PHP de 2026, c’est quoi ?

Deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10. Elles permettent à un inconnu d’exécuter du code sur le serveur, sans identifiant. Selon PHP, toutes les installations qui servent des pages web sont exposées, et la mise à jour est la seule protection sûre (PHP (nouvel onglet)).

En France, le CERT-⁠FR, l’équipe de réponse aux incidents de l’ANSSI, a publié une alerte le jour même, toujours en cours (CERT-⁠FR (nouvel onglet)). Le 23 octobre, PHP a signalé une troisième faille, CVE-2026-115560, plus difficile à exploiter : elle sera corrigée lors de la prochaine mise à jour régulière.

Votre version de PHP est-elle touchée ?

Sur un hébergement mutualisé, c’est l’hébergeur qui installe les correctifs de PHP. Vous, vous choisissez la version utilisée par votre site, dans votre espace client.

Comment connaître la version de PHP de son site ?

1. 01Dans WordPressMenu Outils, puis Santé du site, onglet Infos, rubrique Serveur : la version de PHP y est indiquée (WordPress (nouvel onglet)). L’onglet État signale aussi une version trop ancienne.
2. 02Dans l’espace client de l’hébergeurLa rubrique de l’hébergement web indique la version utilisée par le site, et permet d’en changer. Le nom de la rubrique varie selon l’hébergeur.
3. 03En demandant à votre prestataireSi un prestataire gère le site, demandez-⁠lui la version de PHP et la date de la dernière mise à jour. La réponse doit tenir en une ligne.

Votre site a été suspendu : que faire ?

1. 01Demander le motif exact à l’hébergeurVersion de PHP trop ancienne, site piraté, fichier malveillant : la suite n’est pas la même. Le motif figure en général dans l’e-⁠mail de suspension.
2. 02Sauvegarder avant de toucher à quoi que ce soitFichiers et base de données. Si le site a été piraté, gardez aussi cette copie à part : elle peut servir à comprendre ce qui s’est passé.
3. 03Mettre à jour dans le bon ordreExtensions et thème d’abord, puis le cœur du CMS, puis la version de PHP. Une extension trop ancienne peut casser le site au passage à la nouvelle version.
4. 04Changer les mots de passeAdministration du site, hébergement, base de données, accès FTP. Surtout si le motif est un piratage.
5. 05Vérifier, puis demander la réactivationPages principales, formulaires, paiement. Puis signalez à l’hébergeur ce qui a été corrigé. Si le site a été piraté, suivez notre guide site WordPress piraté.

Quelle version de PHP pour WordPress ?

WordPress recommande PHP 8.3 ou plus récent (WordPress (nouvel onglet)). Côté calendrier, PHP 8.3 reçoit des correctifs de sécurité jusqu’au 31 décembre 2027, et PHP 8.4 jusqu’au 31 décembre 2028 (PHP (nouvel onglet)). Viser 8.3 ou 8.4 évite de refaire l’opération dans deux mois. Le détail par version de WordPress et de PrestaShop : quelle version de PHP choisir.

31 décembre 2026 : la fin de PHP 8.2

Après cette date, PHP 8.2 ne recevra plus aucun correctif (PHP (nouvel onglet)). Les hébergeurs vont pousser leurs clients vers des versions plus récentes. Les sites qui ne suivent pas, souvent les plus anciens, risquent de casser ou d’être coupés : mieux vaut s’en occuper en novembre qu’en janvier.

Mettre à jour, ou changer de site ?

Chez WebCrew, nous ne maintenons pas de sites WordPress : nous les refaisons. Un site vitrine sur Framer ou une boutique sur Shopify est hébergé par la plateforme, qui gère le serveur et sa sécurité : il n’y a pas de version de PHP à surveiller de votre côté.

Pour un site vitrine, voir migrer de WordPress vers Framer. Pour une boutique, notre accompagnement Shopify, et pour PrestaShop, le guide PrestaShop vers Shopify. Dans les deux cas, chaque ancienne adresse est redirigée pour garder votre référencement.