Deux failles critiques dans PHP : votre site internet est-il en danger ?

Deux vulnérabilités critiques découvertes dans PHP font l’objet d’une alerte de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). De nombreux sites internet professionnels pourraient être concernés. Pour les entreprises, même sans compétences informatiques, il est important de comprendre les risques et de vérifier rapidement leur niveau de protection.

PHP : pourquoi cette alerte concerne de nombreux sites internet

Lorsqu’une entreprise dispose d’un site internet, elle se préoccupe généralement de son contenu, de son référencement ou de son bon fonctionnement. La sécurité technique, en revanche, est souvent confiée à un prestataire ou à un hébergeur, sans suivi particulier.

Pourtant, derrière les pages visibles par les internautes se trouvent différents logiciels indispensables au fonctionnement du site. Parmi eux figure PHP, un langage de programmation très utilisé pour faire fonctionner les sites web, notamment ceux développés avec WordPress.

Le 21 octobre 2026, le CERT-FR, centre gouvernemental chargé de la veille et de la réponse aux incidents de cybersécurité, a publié une alerte concernant deux vulnérabilités critiques de PHP, identifiées sous les références CVE-2026-109618 et CVE-2026-109619.

Ces failles peuvent permettre à un attaquant d’exécuter du code informatique à distance sur un serveur vulnérable. Autrement dit, dans certaines conditions, une personne malveillante pourrait lancer des instructions sur le système qui héberge le site.

Le fait de disposer d’un site internet fonctionnel ne signifie donc pas nécessairement qu’il est sécurisé.

Quels risques pour une entreprise dont le site est vulnérable ?

Les conséquences d’une exploitation dépendent de la configuration du serveur, de son exposition sur Internet et des droits dont dispose le logiciel concerné.

Une attaque réussie pourrait notamment entraîner :

• Une interruption du site internet, rendant les services ou les informations temporairement inaccessibles.
• Un accès non autorisé à certaines données, avec un risque pour les informations professionnelles ou personnelles.
• Une modification malveillante du site, par exemple pour afficher un contenu frauduleux ou détourner les visiteurs.
• Une compromission plus étendue du système informatique, lorsque le serveur dispose d’accès à d’autres ressources de l’entreprise.

Les entreprises utilisant leur site pour recevoir des commandes, gérer des comptes clients ou collecter des formulaires peuvent être particulièrement exposées aux conséquences opérationnelles d’un incident.

Au-delà des dommages informatiques, une indisponibilité prolongée peut perturber l’activité commerciale, mobiliser des ressources internes et affecter la confiance des clients.

Le 22 octobre, le CERT-FR a également indiqué avoir connaissance de preuves de concept permettant de démontrer l’exploitation de ces vulnérabilités dans certaines configurations. Cette information renforce l’urgence des vérifications, sans pour autant signifier que tous les sites utilisant PHP ont déjà été compromis.

Comment savoir si votre site internet est concerné ?

Il n’est pas nécessaire de savoir programmer pour engager les premières vérifications.

La première étape consiste à identifier la version de PHP utilisée par votre site. Cette information est généralement accessible depuis l’espace d’administration de l’hébergement ou peut être demandée à votre prestataire informatique.

Selon l’alerte du CERT-FR, les versions suivantes sont concernées :

• PHP 5.x, 7.x, 8.0 et 8.1, qui ne bénéficient plus du support de sécurité de l’éditeur.
• PHP 8.2 avant la version 8.2.35.
• PHP 8.3 avant la version 8.3.36.
• PHP 8.4 avant la version 8.4.27.
• PHP 8.5 avant la version 8.5.12.

Des correctifs ont été publiés le 21 octobre 2026 pour les branches encore maintenues.

Attention toutefois : mettre à jour WordPress, ses extensions ou son thème ne signifie pas automatiquement que PHP a été mis à jour. Il s’agit d’un composant distinct, généralement administré au niveau de l’hébergement.

Si vous ne connaissez pas votre version, demandez à votre hébergeur ou à votre agence web de confirmer par écrit si votre environnement est concerné et si les correctifs nécessaires ont été appliqués.

Quelles mesures prendre pour protéger son site internet ?

La priorité est de vérifier l’application des correctifs de sécurité. Pour les versions de PHP qui ne sont plus maintenues, une migration vers une version prise en charge doit être organisée rapidement.

Cette opération nécessite parfois des vérifications de compatibilité avec le site existant. Il est donc préférable de la confier à un professionnel, notamment pour éviter toute interruption imprévue.

En attendant la sécurisation complète, le CERT-FR évoque également des mesures techniques provisoires permettant de limiter certaines possibilités d’attaque. Ces dispositifs ne remplacent toutefois pas les correctifs et doivent être évalués par un administrateur compétent.

Pour un responsable de site, quelques questions permettent d’engager immédiatement la discussion avec son prestataire :

• Quelle version de PHP utilise actuellement notre site ?
• Les correctifs publiés le 21 octobre ont-ils été installés ?
• Une sauvegarde récente et exploitable est-elle disponible ?
• Une surveillance permet-elle de détecter une activité anormale ?
• En cas d’incident, qui intervient et selon quelle procédure ?

Cette alerte rappelle également une réalité souvent sous-estimée : la cybersécurité d’un site internet ne se limite pas à sa mise en ligne. Elle nécessite un suivi régulier, une répartition claire des responsabilités et des procédures de réaction.

Pour les entreprises, intégrer le risque cyber à leur démarche globale de prévention et de continuité d’activité permet aussi d’anticiper les conséquences organisationnelles d’une éventuelle compromission.