Le 21 octobre, le projet PHP a publié un correctif pour deux failles de sécurité critiques, du genre qui permettent à un inconnu d’exécuter son propre code sur votre serveur web sans même se connecter. Le duo a été surnommé PHP2Shell. Les banques et les compagnies aériennes ont fait la une. Les sites de petites entreprises, non, et ce sont pourtant ceux qui risquent le plus d’être encore vulnérables dans un mois.
Si votre site web tourne sous WordPress, il tourne sous PHP. Voici ce qui s’est passé, ce qu’il faut faire aujourd’hui, et ce que nous répondons à ceux qui demandent pourquoi un site Surmado n’avait rien à mettre à jour.
Ce qui s’est passé, en termes simples
PHP est le langage de programmation dans lequel WordPress est écrit. Chaque fois que quelqu’un visite une page WordPress, un programme PHP s’exécute sur le serveur, va chercher votre contenu dans une base de données et assemble la page sur le moment. Deux bugs dans ce programme, CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant d’envoyer une seule requête spécialement conçue et d’exécuter son propre code sur le serveur. Aucun mot de passe n’est nécessaire. Le projet PHP note les deux failles 9,2 sur 10.
Quelques points utiles à savoir :
- Ce n’est pas un bug de WordPress. Tous les sites bâtis sur PHP sont concernés : WordPress, Drupal, Joomla, Magento et d’innombrables sites sur mesure. WordPress.org indique qu’aucune mise à jour de WordPress n’est nécessaire ni prévue. Le correctif est dans PHP lui-même.
- Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions antérieures ne reçoivent aucun correctif du projet PHP. Si votre site tourne sur l’une d’elles, la solution est une migration plus lourde, pas un simple correctif.
- Des attaquants essayaient déjà avant l’annonce. Le réseau de pots de miel d’Amazon a enregistré une tentative d’exploitation le 17 octobre, quatre jours avant la divulgation publique, et du code de démonstration public circule désormais.
- Il n’existe aucun contournement sûr. Selon les mots mêmes du projet PHP : la mise à jour est le seul choix sûr.
Que faire aujourd’hui
1. Trouvez la version de PHP de votre site. Dans l’administration de WordPress, ouvrez Outils, puis Santé du site, puis l’onglet Informations, puis Serveur. La version de PHP y figure. La plupart des panneaux de contrôle d’hébergement l’affichent aussi.
2. Si la version est 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récente, c’est réglé. Une réserve : certains hébergeurs appliquent le correctif sans changer le numéro de version affiché. Si votre hébergeur vous a écrit ou a annoncé qu’il avait corrigé PHP2Shell, fiez-vous à cette annonce plutôt qu’au numéro.
3. Si elle est inférieure, vérifiez d’abord auprès de votre hébergeur. Beaucoup d’hébergeurs ont commencé à mettre PHP à jour et à ajouter des règles de pare-feu dès la sortie du correctif. Cherchez une page d’état, un e-mail ou un bandeau dans votre compte d’hébergement. S’il n’y a rien, ouvrez un ticket et demandez directement : « PHP a-t-il été corrigé pour CVE-2026-109618 et CVE-2026-109619 sur mon compte ? »
4. Si vous êtes sur PHP 8.1 ou plus ancien, vous avez un chantier, pas un correctif. Votre site doit passer à une branche prise en charge, et un tel passage peut casser un ancien thème ou une ancienne extension. Le conseil de WordPress.org aux personnes qui gèrent leur propre serveur sur une version ancienne est d’envisager de mettre le site hors ligne pendant la migration. Si quelqu’un d’autre le gère pour vous, c’est la décision à prendre aujourd’hui.
5. Ne comptez pas sur une extension de sécurité pour vous couvrir. Une extension WordPress s’exécute à l’intérieur de PHP : elle ne peut donc pas corriger une faille de PHP lui-même. L’attaque peut se déclencher avant même que le moindre code WordPress ne s’exécute. Un pare-feu chez votre hébergeur ou devant votre site peut bloquer les schémas d’attaque connus, ce que beaucoup d’hébergeurs ont fait en premier.
6. Notez un rappel dans votre agenda pour décembre. PHP 8.2 arrive en fin de vie le 31 décembre 2026. Ensuite, il ne reçoit plus non plus de correctifs de sécurité, et le prochain PHP2Shell le frappera sans qu’aucun correctif ne soit prévu.
Pourquoi cela se reproduit sans cesse
Rien de ce qui précède n’est une critique de WordPress. C’est un bon logiciel, et il fait tourner une grande part du web des petites entreprises pour de bonnes raisons. Mais il vaut la peine de comprendre à quoi l’on s’engage en achetant un site WordPress, car personne ne l’explique au moment de l’achat.
Un site WordPress est un programme qui s’exécute à chaque visite. C’est la source de sa souplesse : une extension peut faire presque n’importe quoi, parce qu’un programme est là, prêt à le faire. C’est aussi pourquoi la liste des correctifs n’atteint jamais zéro. PHP, le cœur de WordPress, le thème et chaque extension sont autant de code en cours d’exécution, et chacun a besoin de mises à jour pour toujours. La maintenance d’un site web consiste surtout à garder cette liste à jour, et les sites qui prennent du retard sont ceux dans lesquels des liens de spam sont injectés en silence.
PHP2Shell n’a rien d’inhabituel, sinon sa profondeur. La plupart des années, le bug inquiétant se trouve dans une extension. Celui-ci est dans le langage qui se trouve sous tout le reste.
Ce que « statique » veut dire, et pourquoi les sites Surmado sont conçus ainsi
Les sites Surmado prennent le contre-pied. Nous ne faisons pas tourner votre site comme un programme. Nous construisons les pages finies à l’avance, chaque fois que quelque chose change sur le site, et nous servons ces fichiers finis aux visiteurs. Quand quelqu’un ouvre votre page d’accueil, aucun PHP ne s’exécute, aucune base de données n’est interrogée, aucun code d’extension ne tourne. C’est un fichier, livré depuis un réseau de serveurs proches du visiteur.
Voilà ce que « statique » signifie. Ce n’est pas un choix de design que l’on voit. C’est une décision sur la quantité de code en exécution entre l’internet public et votre entreprise.
Voici la version honnête de ce que cela apporte, et de ce que cela n’apporte pas :
- Une faille comme PHP2Shell n’a rien à atteindre. Il n’y a pas de PHP sur votre site à exploiter. Le 21 octobre, le nombre de choses que nos clients avaient à faire à ce sujet était zéro. Non pas parce que nous avons corrigé vite. Parce qu’il n’y avait rien à corriger.
- La liste de correctifs existe toujours. Mais c’est la nôtre, et elle est courte. Un site Surmado accepte des données à deux endroits : le formulaire de contact et, sur les sites qui en ont une, la fenêtre de chat. Ils tournent comme des services distincts que nous maintenons et mettons à jour, à l’écart de vos pages. Le domaine et le certificat demandent toujours de l’attention, et cela fait partie de l’abonnement. Ce qui change, c’est la quantité de code exposée au public et à qui en revient la charge.
- Rien n’est inviolable. Quiconque vous dit le contraire essaie de vous vendre quelque chose. Un site statique réduit la cible au point que l’essentiel de ce qui attaque les sites WordPress n’a rien à attaquer, ce qui est une affirmation différente, et celle que nous sommes à l’aise de faire.
Qui devrait rester sur WordPress
Les pages statiques ne peuvent pas tout faire, et nous préférons le dire plutôt que de vous laisser le découvrir plus tard.
- Vous vendez en ligne. Une boutique doit calculer des paniers, encaisser des paiements et vérifier les stocks pour chaque client. Cela demande un programme. Surmado Sites ne fait pas de boutiques en ligne ; si vous vendez via une plateforme de boutique, nous la relions à votre site.
- Votre activité repose sur une extension. Un moteur de réservation, un espace membres, un portail client. Si un visiteur se connecte et que le site calcule quelque chose rien que pour lui, WordPress ou un outil du même genre est le bon choix, et la maintenance qui va avec est le prix de cette capacité.
- Vous êtes chez un hébergeur WordPress géré qui a corrigé cela avant que vous en entendiez parler, et vous êtes content de payer pour ça. C’est exactement à cela que sert l’hébergement géré. Si vous avez reçu l’e-mail le 21 octobre et n’aviez rien à faire, votre installation fonctionne.
Pour tous les autres, c’est-à-dire la plupart des petites entreprises, le site est un ensemble de pages : ce que vous faites, où vous êtes, quand vous êtes ouvert, comment vous joindre, et un blog. Pour ce site, la souplesse de WordPress est une capacité que vous payez en maintenance sans jamais l’utiliser. Et des jours comme le 21 octobre, c’est la raison pour laquelle vous avez des devoirs à faire.
Questions fréquentes
Mon site n’est pas sous WordPress. Suis-je concerné ?
S’il est bâti sur PHP, oui. Drupal, Joomla, Magento et la plupart des sites sur mesure d’une agence web tournent sous PHP. Si votre site est sur un créateur de sites hébergé comme Wix, Squarespace ou Shopify, c’est l’entreprise qui gère les serveurs et vous n’avez rien à installer. Si vous ne savez pas, demandez à la personne qui l’a construit.
Surmado peut-il migrer mon site WordPress ?
Oui. Envoyez-nous l’adresse et nous le reconstruisons gratuitement : même contenu, mêmes photos, même structure de pages et mêmes URL, avec les redirections et les métadonnées conservées et l’ancien code laissé de côté. Un humain le vérifie sur une liste de contrôle qualité de 42 points, vous recevez un aperçu, et vous ne payez rien tant que vous n’avez pas approuvé. La plupart des refontes sont prêtes en 24 heures.
Vais-je perdre mon blog ?
Non. Les blogs sont inclus de série dans un site Surmado, et avec le forfait Pro+, nous rédigeons des articles chaque semaine pour vous.
Un site statique nuira-t-il à mon référencement ?
C’est plutôt le contraire. Des pages construites à l’avance se chargent plus vite que des pages assemblées à chaque visite, et la vitesse est un facteur de classement. Tout ce dont les moteurs de recherche et les assistants IA ont besoin pour lire votre site se trouve dans les fichiers finis.
En résumé
Si vous possédez un site WordPress, vérifiez la version de PHP aujourd’hui, confirmez que votre hébergeur a appliqué le correctif, et notez le 31 décembre dans votre agenda. C’est tout le travail, et il mérite une heure.
Si vous préférez que ce soit la dernière fois que vous avez des devoirs à cause d’un bug dans un langage dont vous n’aviez jamais entendu parler, découvrez ce qu’inclut un site Surmado et les tarifs actuels. La refonte est gratuite, et vous ne payez que si elle vous plaît.