Réponse courte : oui, vous pouvez corriger vous-même une faille critique de PHP sur votre site, à condition de pouvoir changer la version de PHP chez votre hébergeur ou sur votre serveur. Dans la grande majorité des cas, la réparation tient en une mise à jour de PHP, pas en une modification de votre code. Ce guide explique comment procéder pas à pas, avec les limites à connaître.
D'abord, comprendre de quoi il s'agit. Une faille de PHP se trouve dans le moteur qui exécute votre site, pas dans WordPress ni dans un plugin. Elle ne se règle donc pas en réinstallant le site ou en changeant de thème. Les failles PHP2Shell d'octobre 2026 (CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10) en sont un exemple : selon l'avis de PHP, elles peuvent être exploitées à distance sans authentification. Le seul correctif complet est une version de PHP qui les corrige.
Étape 1 : connaître votre version exacte de PHP. Dans WordPress, ouvrez Outils, Santé du site, onglet Infos, section Serveur. Vous pouvez aussi la trouver dans le panneau de votre hébergeur (cPanel, Plesk ou tableau de bord propre à l'hébergeur). Si vous avez un accès SSH, la commande php -v l'affiche, mais attention : en ligne de commande, la version peut différer de celle qui sert votre site web.
Étape 2 : comparer avec les versions corrigées. D'après l'avis de PHP du 21 octobre 2026, les failles PHP2Shell sont corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si vous êtes sur une de ces branches mais dans une version plus ancienne, il faut mettre à jour. Pour PHP 7.4, 8.0 et 8.1, le projet ne publie aucune version officielle corrigée. Pour 7.3 et antérieur, il n'y a aucun correctif. Dans ces cas, la seule vraie solution est de passer à une version supportée.
Étape 3 : faire une sauvegarde complète avant toute modification. Copiez les fichiers du site et exportez la base de données, et vérifiez que la sauvegarde est lisible. Si l'hébergeur propose un instantané, utilisez-le en plus. Sans sauvegarde, une mise à jour qui tourne mal peut devenir un vrai problème.
Étape 4 : mettre à jour PHP. Sur un hébergement partagé ou géré, il existe presque toujours un sélecteur de version dans le panneau de contrôle. Choisissez une version corrigée et supportée, idéalement PHP 8.3 ou plus récent, car PHP 8.2 ne recevra plus de correctifs de sécurité après le 31 décembre 2026. Si le panneau n'offre pas de version corrigée, écrivez à l'hébergeur : il doit pouvoir vous dire quand elle sera disponible. Sur un serveur que vous gérez vous-même, appliquez les mises à jour de sécurité de votre distribution, puis redémarrez le service PHP (par exemple PHP-FPM) et le serveur web. Attention : les paquets des distributions Linux conservent parfois un numéro de version qui semble ancien alors que le correctif est appliqué. Consultez le journal des changements de la distribution plutôt que de vous fier au numéro seul.
Étape 5 : tester le site tout de suite après. Parcourez les pages principales, le formulaire de contact, la connexion à l'administration et, pour une boutique, une commande complète en mode test. Activez le journal d'erreurs : si une page devient blanche ou affiche une erreur 500, un plugin ou un thème ancien est probablement incompatible avec la nouvelle version. Désactivez-le, cherchez une version à jour ou un remplaçant, puis recommencez. Notre article sur l'écran blanc et l'erreur 500 après une mise à jour de PHP détaille cette étape.
Si vous ne pouvez pas mettre à jour tout de suite, des mesures temporaires existent. Pour CVE-2026-109618, PHP indique de fixer memory_limit à -1 sans que les applications puissent le modifier, et de limiter la taille des requêtes au niveau du serveur web. Pour CVE-2026-109619, il indique de désactiver session.upload_progress.enabled (valeur 0), puis de redémarrer tous les processus PHP. Ces réglages réduisent l'exposition mais ne remplacent pas la mise à jour, et une mauvaise valeur de memory_limit peut avoir des effets sur la stabilité du serveur. Un pare-feu applicatif ne fait que gêner les attaques.
Étape 6 : vérifier que le site n'a pas déjà été compromis. Des tentatives d'exploitation ont été signalées par plusieurs fournisseurs de sécurité. Cherchez les signes habituels : fichiers PHP récents que vous ne reconnaissez pas, surtout dans les dossiers d'envois, nouveaux comptes administrateurs, pages inconnues dans Google, redirections étranges. Si vous trouvez quelque chose, ne vous contentez pas de le supprimer : changez tous les mots de passe et lisez notre guide sur le site WordPress piraté et la Loi 25.
Étape 7 : durcir pour la suite. Mettez à jour WordPress, le thème et tous les plugins, supprimez ceux que vous n'utilisez plus, activez les mises à jour automatiques de sécurité et planifiez une vérification de la version de PHP quelques fois par an. Notre page sur la dernière version de PHP indique les versions supportées.
Quand faire appel à de l'aide ? Si votre hébergeur n'offre aucune version corrigée, si le site plante après la mise à jour malgré vos essais, si vous gérez un serveur sans savoir ce qui y est installé, ou si vous soupçonnez une intrusion. Notre équipe de techniciens en informatique et de programmeurs PHP peut vérifier la version, appliquer la mise à jour, corriger le code incompatible et remettre le site en ligne, à distance partout au Québec. Remplissez le formulaire en bas de page.
Sources : avis du projet PHP du 21 octobre 2026 tel que rapporté par Tenable, The Hacker News et BleepingComputer. Ces informations évoluent rapidement : vérifiez la page officielle de PHP pour les dernières versions. Ce texte est de l'information générale, pas un avis juridique ou de sécurité personnalisé.