Mettre à jour PHP : comment vérifier et sécuriser votre site web ?

Un site web peut fonctionner parfaitement, être accessible à ses visiteurs et ne présenter aucun problème visible, tout en utilisant une version de PHP qui contient des failles de sécurité connues.

C'est d'ailleurs ce qui rend la maintenance parfois difficile à percevoir. Contrairement à un bug d'affichage ou à un formulaire qui ne fonctionne plus, une vulnérabilité peut rester totalement invisible jusqu'à ce qu'elle soit exploitée.

Les mises à jour de PHP jouent un rôle important dans la sécurité d'un site. Pourtant, de nombreux propriétaires de sites ne savent pas quelle version ils utilisent, ni si leur hébergeur s'occupe de la maintenir.

Alors, comment vérifier votre situation ? Qui doit intervenir ? Et comment mettre PHP à jour sans risquer de rendre votre site inaccessible ?

Pourquoi faut-il mettre PHP à jour ?

PHP, c'est quoi exactement ?

PHP est un langage de programmation exécuté sur un serveur web. Il permet notamment de traiter des informations, d'interagir avec une base de données et de générer des pages.

Si vous utilisez WordPress, votre site repose sur PHP, même si vous n'avez jamais écrit une seule ligne de code.

Prenons un exemple : un visiteur consulte un article sur votre site WordPress. Selon la configuration du site, PHP peut intervenir pour récupérer le contenu enregistré dans la base de données, appliquer les fonctionnalités nécessaires et préparer la page qui sera envoyée au navigateur.

Le visiteur ne voit pas PHP fonctionner. Il voit simplement votre site.

Comme n'importe quel logiciel, PHP évolue régulièrement. Certaines mises à jour apportent de nouvelles fonctionnalités ou corrigent des bugs. D'autres sont publiées pour résoudre des problèmes de sécurité.

Que se passe-t-il lorsqu'une faille est découverte ?

Une vulnérabilité est un défaut dans un logiciel qui peut, dans certaines conditions, être utilisé pour provoquer un comportement non prévu.

Toutes les failles n'ont pas la même gravité. Certaines nécessitent qu'un attaquant possède déjà un compte administrateur. D'autres peuvent être exploitées à distance, parfois sans aucune authentification.

Dans les cas les plus graves, un attaquant peut parvenir à exécuter du code sur le serveur. On parle alors d'exécution de code à distance, ou Remote Code Execution (RCE).

Selon les permissions obtenues et la configuration de l'hébergement, les conséquences peuvent être importantes : modification de fichiers, compromission du site, accès à certaines informations confidentielles ou utilisation du serveur à des fins malveillantes.

Cela concerne aussi les sites vitrines. Un site qui ne propose aucun paiement en ligne peut malgré tout être détourné pour diffuser du contenu malveillant ou attaquer ses visiteurs.

La découverte d'une vulnérabilité ne signifie toutefois pas que votre site a été piraté. Son exploitabilité dépend de l'environnement, et une attaque réellement survenue doit être distinguée d'un risque identifié.

Actualité du 21 octobre 2026 : deux failles critiques corrigées

Mise à jour de cet encadré : 21 octobre 2026.

L'équipe officielle de PHP a publié une alerte concernant deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619.

La première concerne une erreur de gestion de la mémoire lorsque PHP rencontre une situation d'épuisement de mémoire. La seconde concerne la réutilisation possible d'informations internes après la libération de leur mémoire.

Ces deux défauts peuvent permettre, dans certaines conditions, une exécution de code à distance sans authentification.

L'alerte concerne les installations PHP qui traitent des requêtes web, notamment avec PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ou LiteSpeed. L'équipe PHP considère le risque comme particulièrement important avec mod_php, pour lequel un scénario d'exploitation a été démontré.

Les versions correctives officielles sont disponibles :

PHP 8.2 -> 8.2.35

PHP 8.3 -> 8.3.36

PHP 8.4 -> 8.4.27

PHP 8.5 -> 8.5.12

Si votre serveur utilise directement une version antérieure dans l'une de ces branches, il faut vérifier que les correctifs ont été appliqués.

L'équipe PHP précise qu'aucune mesure d'atténuation ne remplace complètement la mise à jour. Des protections temporaires peuvent réduire certains risques, mais elles ne corrigent pas les vulnérabilités.

Pour les anciennes branches comme PHP 8.1, qui ne sont plus maintenues directement par le projet PHP, certains fournisseurs de systèmes d'exploitation peuvent proposer des correctifs spécifiques. Il faut donc vérifier la situation auprès de votre fournisseur plutôt que de vous fier uniquement au numéro affiché.

L'annonce officielle décrit des scénarios d'exploitation possibles. Elle ne permet pas, à elle seule, de conclure qu'une campagne d'attaques généralisée est en cours.

Source : Avis officiel PHP du 21 octobre 2026.

Votre site utilise-t-il PHP ?

Tous les sites web ne fonctionnent pas avec les mêmes technologies. Avant de chercher une version PHP dans votre hébergement, il faut déjà savoir si votre site en utilise une.

Vous avez un site WordPress, Elementor ou WooCommerce

Dans ce cas, oui, votre site repose sur PHP.

WordPress est développé principalement avec ce langage. Cela reste vrai si vous utilisez Elementor pour construire vos pages ou WooCommerce pour gérer votre boutique en ligne.

Attention toutefois à une confusion fréquente : mettre à jour WordPress ou Elementor ne met pas nécessairement PHP à jour.

Les extensions, le CMS et l'environnement serveur sont des composants différents. Ils peuvent donc avoir des versions et des procédures de maintenance distinctes.

Vous utilisez une application développée sur mesure

Certaines applications web utilisent PHP directement ou reposent sur des frameworks comme Laravel ou Symfony.

Dans ce cas, la maintenance de PHP concerne également votre application et doit être prise en compte dans la gestion de votre hébergement.

Si vous ne connaissez pas les technologies utilisées, votre prestataire technique pourra normalement vous renseigner.

Et les sites développés avec Next.js, React ou Prismic ?

Ces technologies ne nécessitent pas systématiquement PHP.

Un site construit avec Next.js et Prismic, par exemple, peut fonctionner sans aucun serveur PHP. Il n'est alors pas directement concerné par les vulnérabilités propres à ce langage.

Mais il faut regarder l'ensemble de l'infrastructure. Un site peut utiliser plusieurs technologies, avec des services indépendants, une ancienne application PHP ou un outil complémentaire qui repose sur ce langage.

Ce n'est donc pas le nom du CMS ou l'apparence du site qui permet de déterminer son exposition, mais les technologies réellement utilisées.

Comment connaître la version PHP de votre site ?

Bonne nouvelle : si vous utilisez WordPress, cette information est généralement accessible sans connaissance technique.

Vérifier sa version PHP depuis WordPress

Connectez-vous à votre administration WordPress, puis suivez ce parcours :

Tableau de bord → Outils → Santé du site → Informations → Serveur

Développez la rubrique « Serveur ». Vous devriez y trouver la version PHP utilisée par votre installation.

Par exemple, votre site peut afficher PHP 8.4.26.

Cette information est utile : elle permet de connaître la version utilisée par WordPress au moment de la consultation.

En revanche, elle ne suffit pas toujours à déterminer si tous les correctifs de sécurité ont été appliqués. Certains hébergeurs utilisent des versions personnalisées ou des correctifs rétroportés.

Vous pouvez donc transmettre cette information à votre hébergeur ou à votre prestataire pour qu'il confirme la situation.

Vérifier depuis son hébergement

La version PHP peut également être consultable depuis l'interface de votre hébergeur.

Selon votre fournisseur, vous pouvez disposer d'un panneau d'administration comme cPanel ou Plesk, ou d'un espace propre à OVHcloud, Infomaniak ou un autre prestataire.

Certains hébergements permettent de modifier directement la branche PHP depuis cette interface. D'autres appliquent automatiquement les correctifs de sécurité ou proposent une sélection limitée de versions.

Ne changez pas de version au hasard, surtout sur un site en production. Il est préférable de vérifier les recommandations du fournisseur et la compatibilité de votre site avant toute modification.

Sur Elementor Hosting, par exemple, le tableau de bord My Elementor permet d'accéder aux informations d'hébergement et aux réglages de la version PHP. Cela ne signifie pas que vous devez effectuer vous-même chaque correctif : il faut distinguer le changement de branche proposé dans l'interface de la maintenance des logiciels assurée par l'hébergeur.

Et sur un serveur administré ?

Sur un VPS, un serveur dédié ou une instance cloud, la vérification demande davantage de connaissances.

Un administrateur peut notamment utiliser la commande php -v pour afficher une version PHP. Attention cependant : cette commande indique la version utilisée en ligne de commande, qui n'est pas obligatoirement celle servant votre site web.

Il faut vérifier le service PHP réellement utilisé, les éventuelles différentes installations et les correctifs fournis par la distribution Linux.

Certains systèmes, notamment des distributions maintenues sur une longue durée, peuvent recevoir des correctifs de sécurité sans adopter exactement les numéros de version publiés par le projet PHP.

C'est ce qu'on appelle un correctif rétroporté : une correction de sécurité est intégrée dans une version plus ancienne, maintenue par le fournisseur.

Le bon contrôle consiste donc à vérifier que les vulnérabilités sont effectivement corrigées dans l'environnement utilisé, plutôt qu'à comparer uniquement deux numéros.

Qui doit mettre PHP à jour : votre hébergeur, votre agence ou vous ?

C'est probablement la question la plus importante lorsque vous n'administrez pas vous-même votre serveur.

La réponse dépend principalement de votre type d'hébergement et des prestations de maintenance prévues dans votre contrat.

Sur un hébergement mutualisé ou WordPress managé, l'hébergeur prend généralement en charge une partie importante de la maintenance, mais certaines actions peuvent rester à votre charge. Sur un VPS, un serveur dédié ou une instance AWS, les mises à jour doivent être organisées par la personne ou le prestataire qui administre le serveur. Enfin, si votre site a été créé par une agence ou un freelance, vérifiez votre contrat : la maintenance de l'hébergement n'est pas nécessairement comprise.

Hébergement mutualisé : votre hébergeur gère une partie du travail

Avec un hébergement mutualisé, vous partagez une infrastructure avec d'autres clients. L'hébergeur administre généralement le serveur, son système d'exploitation et les composants logiciels mis à disposition.

Cela ne signifie pas forcément que vous n'avez aucune action à réaliser.

Certains fournisseurs appliquent les correctifs sur les versions PHP proposées, tandis que d'autres demandent aux propriétaires de sites de sélectionner une branche PHP plus récente dans leur espace client.

Le plus simple reste de consulter les informations communiquées par votre hébergeur ou de contacter son support.

Hébergement WordPress managé : vérifiez les garanties

Avec un hébergement WordPress managé, une partie importante de la maintenance technique est normalement assurée par le fournisseur.

Cela peut inclure les mises à jour du serveur, la gestion des versions PHP, les sauvegardes ou certains dispositifs de sécurité.

Mais le périmètre exact varie selon les prestataires.

Pour une alerte critique, mieux vaut obtenir une confirmation que le correctif a bien été appliqué à votre environnement plutôt que de considérer que l'ensemble des hébergements a été corrigé automatiquement.

VPS, AWS Lightsail ou EC2 : louer un serveur ne signifie pas qu'il est maintenu

Sur un serveur privé, la répartition des responsabilités est différente.

Prenons AWS Lightsail. AWS fournit l'infrastructure permettant d'exécuter votre serveur, mais précise que les systèmes d'exploitation et logiciels des instances existantes ne sont pas automatiquement mis à jour par Lightsail.

Si votre application utilise une version vulnérable de PHP, c'est donc à la personne ou à l'équipe chargée de l'administration de l'instance d'organiser la correction.

Cette administration peut être réalisée par votre équipe interne, une agence, un prestataire spécialisé ou un mécanisme de maintenance automatisé que vous avez mis en place.

Pour EC2, les responsabilités dépendent également de l'architecture et des services utilisés.

Et si votre site a été réalisé par une agence ?

Une agence peut développer votre site, le mettre en ligne, puis vous transférer les accès sans assurer sa maintenance au quotidien.

À l'inverse, certaines agences proposent un contrat couvrant les mises à jour applicatives et une partie de la gestion de l'hébergement.

Il faut donc distinguer le prestataire qui a créé votre site de celui qui en assure aujourd'hui la maintenance.

Avoir un site réalisé par un professionnel ne signifie pas automatiquement que ce professionnel continue d'administrer son serveur plusieurs années après la livraison.

Comment mettre PHP à jour sans prendre de risques inutiles ?

Mettre PHP à jour peut être une opération relativement simple, notamment lorsqu'il s'agit d'appliquer un correctif au sein d'une branche déjà utilisée.

Mais une mise à jour peut aussi entraîner des problèmes de compatibilité, particulièrement lorsqu'on passe d'une ancienne branche PHP à une version beaucoup plus récente.

Pour limiter les risques, voici la démarche que nous recommandons.

• Identifier la version et les correctifs disponibles. Avant toute intervention, vérifiez quelle version PHP sert réellement votre site, d'où proviennent les packages installés et si les corrections nécessaires sont disponibles.
• Prévoir une sauvegarde exploitable. Elle doit couvrir les fichiers du site, sa base de données et les éléments de configuration nécessaires à une restauration. L'idéal est de vérifier qu'elle peut effectivement être restaurée.
• Vérifier la compatibilité. Pour une migration importante, testez si possible la nouvelle version sur un environnement de préproduction. WordPress, les extensions, le thème et les éventuels développements spécifiques peuvent dépendre de comportements modifiés entre les branches PHP.
• Appliquer la mise à jour. Selon votre hébergement, l'opération peut être effectuée depuis une interface d'administration ou nécessiter l'intervention d'une personne qui gère le serveur. Certains services devront parfois être redémarrés, avec une courte interruption possible.
• Contrôler la version réellement utilisée. Une mise à jour annoncée comme réussie ne suffit pas. Vérifiez que le serveur web exécute bien le PHP corrigé et que les éventuels processus ou conteneurs concernés utilisent la nouvelle version.
• Tester votre site après l'intervention. Vérifiez notamment l'affichage des pages, les formulaires, l'authentification, l'administration WordPress et, si votre site en possède, les fonctionnalités de commande ou de paiement. Surveillez ensuite les erreurs éventuelles.

Un point mérite d'être souligné : une mise à jour corrective urgente ne doit pas être repoussée indéfiniment sous prétexte que tous les tests de compatibilité ne sont pas terminés.

Dans le cas d'une vulnérabilité critique, il faut organiser une intervention rapide, avec les vérifications adaptées au niveau de risque. Une campagne de tests approfondie reste particulièrement importante pour une migration majeure, mais elle ne doit pas devenir un obstacle permanent à l'installation des correctifs de sécurité.

Et si la mise à jour provoque une erreur ? Votre prestataire devra chercher une solution compatible et sécurisée. Revenir durablement à une version vulnérable ne constitue pas une réponse satisfaisante.

Votre hébergeur protège-t-il automatiquement votre site ?

Il faut distinguer plusieurs niveaux de maintenance, qui ne sont pas toujours assurés par les mêmes personnes.

Sur un WordPress, par exemple, il existe les mises à jour du CMS, celles des extensions et du thème, celles du langage PHP et celles des autres composants du serveur, comme le système d'exploitation ou le serveur web.

Certaines de ces mises à jour peuvent être automatiques. D'autres nécessitent une intervention manuelle ou un suivi particulier.

C'est pourquoi un site WordPress parfaitement à jour dans son tableau de bord peut malgré tout utiliser un environnement PHP présentant une vulnérabilité connue.

Il faut également surveiller la durée de support des versions utilisées.

Par exemple, la branche PHP 8.2 atteint la fin de son support officiel de sécurité le 31 décembre 2026. Installer le correctif d'octobre reste indispensable, mais il faudra aussi prévoir une migration vers une branche maintenue pour continuer à recevoir les prochaines corrections.

Cloudflare, CloudFront et les WAF suffisent-ils à protéger votre site ?

Peut-être utilisez-vous Cloudflare ou Amazon CloudFront devant votre serveur. Ces services peuvent améliorer les performances et contribuer à la protection de votre site.

Un CDN permet notamment de distribuer certains contenus depuis des serveurs intermédiaires. Un WAF, ou pare-feu applicatif web, analyse les requêtes entrantes et peut en bloquer certaines selon des règles de sécurité.

Ils ne remplissent toutefois pas exactement le même rôle. Utiliser un CDN ne signifie d'ailleurs pas forcément qu'un WAF adapté est activé.

Un WAF correctement configuré peut réduire l'exposition à certains types d'attaques, mais son efficacité dépend des règles disponibles et de la manière dont une vulnérabilité peut être exploitée.

Ni Cloudflare, ni CloudFront, ni un WAF ne corrigent une faille dans PHP.

Dans le cas des vulnérabilités du 21 octobre 2026, l'équipe PHP indique explicitement que les mesures d'atténuation ne constituent pas une solution complète.

L'isolation des services et les protections réseau peuvent limiter certains risques ou certaines conséquences, sans rendre une installation vulnérable sûre.

Ces protections restent utiles en complément, mais elles ne doivent pas remplacer la maintenance du serveur.

Vous ne savez pas qui s'occupe de votre serveur ? Voici quoi faire.

Vous avez un site web, mais aucune idée de l'endroit où il est hébergé ou de la personne qui gère les mises à jour ?

Commencez par regarder vos factures et vos contrats. Vous y trouverez peut-être le nom de votre hébergeur, un contrat de maintenance ou les coordonnées de l'agence qui a créé votre site.

Si vous avez accès à votre administration WordPress, vous pouvez déjà récupérer la version PHP grâce à l'écran Santé du site.

Ensuite, rapprochez-vous de la personne qui gère votre hébergement. Il peut s'agir du support de votre hébergeur, de votre développeur, de votre agence ou de votre prestataire informatique.

Vous pouvez lui envoyer ce message :

Objet : Vérification des mises à jour de sécurité PHP

Bonjour,

Suite à l'alerte de sécurité PHP du 21 octobre 2026, pourriez-vous me confirmer si notre site utilise PHP et si notre environnement est concerné par les vulnérabilités annoncées ?

Si c'est le cas, pouvez-vous m'indiquer si les correctifs ont été appliqués ou à quelle échéance ils le seront, ainsi que la personne qui prend en charge l'intervention ?

Pourriez-vous également me préciser la version ou les correctifs installés et comment leur bonne application a été vérifiée ?

Merci pour votre retour.

Ce message suffit pour obtenir les principales informations, sans avoir à comprendre vous-même les détails de l'administration d'un serveur.

Si votre prestataire confirme que le correctif est déployé, conservez cette information avec votre suivi de maintenance.

Si la correction n'est pas encore disponible, demandez-lui quelles mesures temporaires peuvent être mises en place et à quelle échéance une solution complète pourra être appliquée.

En revanche, si vous suspectez que votre site a déjà été compromis, une mise à jour ne suffira pas nécessairement. Il faudra également faire analyser l'incident et déterminer ses éventuelles conséquences, notamment sur les données traitées.

Et pour la suite ?

Les vulnérabilités d'octobre 2026 rappellent une réalité assez simple : la maintenance d'un site web ne s'arrête pas à sa mise en ligne.

Même lorsqu'un site fonctionne correctement, les logiciels utilisés continuent d'évoluer. De nouveaux bugs sont identifiés, des correctifs sont publiés et certaines versions finissent par ne plus être maintenues.

L'objectif n'est pas de surveiller quotidiennement chaque annonce technique. Il est surtout de savoir qui s'en charge, comment les mises à jour sont organisées et comment leur application est vérifiée.

Un site correctement maintenu n'est jamais totalement à l'abri d'une faille. Mais disposer d'un hébergement suivi, de sauvegardes exploitables et d'un interlocuteur identifié permet d'agir beaucoup plus efficacement lorsqu'un problème survient.

Vous n'avez personne pour vous accompagner ?

Chez AZTK, nous développons des sites web et des applications, et nous accompagnons nos clients dans les choix techniques liés à leur hébergement et à leur maintenance.

Si vous ne savez pas qui administre votre site ou si vous avez besoin d'aide pour identifier les vérifications à réaliser, nous pouvons en discuter avec vous.

Sources :

PHP Alerte du 21 octobre 2026

PHP Versions maintenues

WordPress Santé du site

AWS Maintenance Lightsail

Elementor Configuration PHP

AWS CloudFront et WAF