Failles PHP critiques trouvées : Comment protéger votre site WordPress

L'équipe de sécurité PHP vient de publier des correctifs d'urgence aujourd'hui (21 octobre 2026) pour deux vulnérabilités critiques dans PHP lui-même.

Ces failles permettent aux attaquants d'exécuter du code sur votre serveur web sans connexion. Les détails des failles ont également fuité avant que le correctif ne soit prêt, de sorte que les attaquants pourraient déjà savoir comment les utiliser.

Si votre site WordPress utilise une version non corrigée de PHP, vous devez la mettre à jour immédiatement.

Quelles versions de PHP sont corrigées ?

Les versions corrigées sont :

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Si vous utilisez PHP 8.1 ou une version antérieure, votre version ne reçoit plus de mises à jour de sécurité régulières, vous devrez donc passer à l'une des versions ci-dessus.

Gardez à l'esprit que la mise à jour du cœur de WordPress ne change pas votre version de PHP. PHP s'exécute sur votre serveur d'hébergement, donc la mise à jour se fait dans votre compte d'hébergement ou via votre fournisseur d'hébergement.

Que faire immédiatement

Vérifiez votre version de PHP. Dans votre tableau de bord WordPress, allez dans Outils » Santé du site, cliquez sur l'onglet « Informations » et ouvrez la section « Serveur ».
Sauvegardez votre site avant d'apporter des modifications.
Mettez à jour vers une version corrigée. Vous pouvez généralement changer de version PHP depuis votre tableau de bord d'hébergement. Si vous ne trouvez pas le réglage, demandez à votre hébergeur de vous mettre à jour vers une version corrigée.
Vérifiez les signes d'intrusion. La mise à jour arrête les nouvelles attaques, mais elle ne supprimera pas un pirate déjà présent. Recherchez des utilisateurs administrateurs que vous ne reconnaissez pas et des fichiers qui ont été modifiés de manière inattendue.

👉 Pour des instructions étape par étape, consultez notre guide sur comment mettre à jour votre version de PHP dans WordPress. Il couvre Bluehost, Hostinger, SiteGround, HostGator, DreamHost et WP Engine, ainsi que ce qu'il faut faire si la mise à jour casse votre site.

Si vous ne pouvez pas mettre à jour immédiatement, contactez votre fournisseur d'hébergement et demandez-lui d'appliquer le correctif pour vous.