Le 21 octobre 2026, deux failles critiques ont été rendues publiques dans PHP, le langage qui fait tourner WordPress et la grande majorité des sites web. Moins d’une heure après la publication des correctifs, l’ensemble de nos serveurs d’hébergement était à jour. Nos clients n’ont rien eu à faire, et c’est précisément ce que nous voulons vous raconter ici.

Faille de sécurité PHP : ce qui s’est passé le 21 octobre

PHP est le moteur invisible de votre site internet. C’est lui qui exécute WordPress, assemble vos pages et les envoie aux visiteurs, qu’il s’agisse d’un site vitrine WordPress ou d’une boutique en ligne WooCommerce. Quand une faille est découverte dans PHP, ce ne sont pas quelques sites qui sont concernés : c’est une très large part du web.

Le 21 octobre, l’équipe PHP a publié des correctifs pour deux vulnérabilités jugées critiques (références CVE-2026-109618 et CVE-2026-109619). Une faille critique, c’est une faille qui peut permettre à un attaquant de faire exécuter du code sur le serveur sans avoir besoin d’un mot de passe. Autrement dit, le genre de brèche qu’il faut refermer vite, parce que les tentatives d’exploitation commencent en général dans les heures qui suivent l’annonce.

Ces correctifs concernent toutes les branches de PHP maintenues. Nous les avons appliqués sur l’ensemble de nos serveurs, quels que soient les sites qu’ils hébergent.

Ce que nous avons fait, heure par heure

Vers 16 h, les versions corrigées de PHP sont publiées. Nous suivons les annonces de sécurité de PHP, de WordPress et des éditeurs d’extensions en continu, et l’alerte nous parvient dans la foulée.

Dans l’heure qui suit, les correctifs sont déployés sur l’ensemble de nos serveurs d’hébergement, sans attendre le cycle de mise à jour nocturne habituel. Vers 17 h, le dernier serveur est à jour.

Dans la soirée, nous contrôlons que chaque site fonctionne normalement sous la version corrigée de PHP, et nous répondons aux premiers clients qui nous écrivent pour savoir s’ils sont concernés.

Au quotidien, nous maintenons chaque serveur sur une version de PHP activement supportée, et nous planifions les montées de version avant chaque fin de support, sans attendre qu’une faille nous y oblige.

Une faille critique se referme en heures, pas en semaines.

Un hébergement web sécurisé : pourquoi vous n’avez rien eu à faire

Cette réactivité n’est pas un coup de chance : elle repose sur des mesures permanentes, en place sur tous nos serveurs d’hébergement.

  • Des mises à jour de sécurité automatiques chaque nuit, et en urgence, à la main, lorsque la gravité l’exige, comme cette fois-ci.
  • Un cloisonnement entre les sites : si un site était compromis, les autres resteraient hors d’atteinte.
  • Un pare-feu applicatif qui filtre les requêtes suspectes avant qu’elles n’atteignent WordPress, et un blocage automatique des adresses malveillantes.
  • Des analyses anti-malware régulières et une supervision permanente des serveurs, pour détecter un comportement anormal avant qu’il ne devienne un incident.
  • Des sauvegardes quotidiennes sur des serveurs externes, pour pouvoir restaurer un site rapidement en cas de problème.

C’est tout l’intérêt d’un hébergement web sécurisé, géré en France par l’agence qui a conçu votre site : les mises à jour de PHP, du serveur et de WordPress ne reposent pas sur vous, et personne n’a besoin de se demander qui doit s’en charger. Un hébergement maintenu, c’est aussi un site rapide et disponible, ce que Google récompense dans son classement.

Comment savoir si votre site est à jour

Plusieurs clients nous ont écrit le 22 octobre au matin, sans trouver l’information dans leur espace WordPress. C’est normal : la version de PHP n’est pas visible dans l’administration courante d’un site, et la plupart des utilisateurs n’ont pas à y accéder. Trois cas de figure :

  1. Votre site est hébergé chez nous : vous n’avez rien à vérifier, la mise à jour est faite et contrôlée. Un simple mail suffit si vous souhaitez une confirmation écrite, par exemple pour votre direction informatique.
  2. Vous disposez d’un accès administrateur à votre WordPress : rendez-vous dans Outils, puis Santé du site, onglet Informations, section Serveur. La ligne Version de PHP indique la version utilisée par votre site.
  3. Votre site est hébergé ailleurs : demandez à votre hébergeur si les correctifs du 21 octobre ont été appliqués, et à quelle heure. La réponse en dit long sur le sérieux de l’hébergement.

Dans tous les cas, cette information doit vous parvenir sans que vous ayez à la chercher : c’est le rôle de votre prestataire, pas le vôtre.

Votre site internet n’est pas hébergé chez nous ?

Vous avez un site WordPress hébergé chez un prestataire généraliste, ou sur un hébergement dont plus personne ne s’occupe vraiment ? Parlons-en. Nous pouvons auditer sa configuration, le migrer sur nos serveurs et le placer sous maintenance, pour que la prochaine alerte de sécurité ne soit plus votre problème.