Le 21 octobre 2026, l’équipe PHP a publié en urgence des correctifs pour deux vulnérabilités critiques. Cette alerte concerne les sites WordPress, les boutiques PrestaShop et, plus largement, les applications qui fonctionnent avec PHP. La priorité est de vérifier la version réellement utilisée sur l’hébergement et d’appliquer les correctifs disponibles. Mais cet événement rappelle aussi pourquoi il faut maintenir son CMS, ses modules et son thème à jour.
Deux failles critiques dans PHP : que s’est-il passé ?
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 peuvent, dans certaines conditions, permettre à un attaquant non authentifié d’exécuter du code sur un serveur. Elles concernent des mécanismes internes de gestion de la mémoire et de l’état des requêtes PHP, et non un plugin WordPress ou un module PrestaShop particulier.
Ces failles sont classées critiques. L’impact réel dépend notamment de la configuration du serveur et des chemins d’exploitation possibles, mais le risque justifie une intervention rapide. Un pare-feu applicatif (WAF) peut réduire certaines attaques ; il ne remplace pas l’installation du correctif PHP.
Quelles versions de PHP sont corrigées ?
Les versions de sécurité publiées le 21 octobre 2026 sont :
- PHP 8.5.12 pour la branche 8.5 ;
- PHP 8.4.27 pour la branche 8.4 ;
- PHP 8.3.36 pour la branche 8.3 ;
- PHP 8.2.35 pour la branche 8.2.
Il n’est donc pas nécessaire de passer automatiquement de PHP 8.4 à PHP 8.5 : si ton site est déjà en PHP 8.4.27, cette version intègre les correctifs annoncés. En revanche, un site en PHP 8.4.26 doit être mis à jour, même si l’écart semble minime.
Les anciennes branches doivent faire l’objet d’une vigilance particulière. PHP 8.1 et les versions antérieures ne bénéficient plus des correctifs officiels du projet PHP, sauf éventuelle maintenance spécifique assurée par certains fournisseurs. PHP 8.2 arrive également en fin de support de sécurité le 31 décembre 2026 : il faut prévoir sa migration.
Comment vérifier et appliquer le correctif ?
Sur WordPress, la version de PHP apparaît généralement dans Outils > Santé du site > Informations > Serveur. Sur PrestaShop, elle peut être consultée depuis les informations système de l’administration, selon la version, ou directement depuis le panneau d’hébergement.
Chez OVHcloud ou chez un autre hébergeur, vérifie la version de PHP utilisée par le domaine concerné : la version affichée par défaut dans l’offre d’hébergement n’est pas toujours celle exécutée par le site. Si la version corrigée n’est pas disponible, contacte l’hébergeur pour connaître son calendrier de déploiement et ses mesures temporaires.
Avant de changer de branche PHP, réalise une sauvegarde complète des fichiers et de la base de données. Vérifie ensuite la compatibilité des thèmes, extensions, modules et développements personnalisés, idéalement sur une préproduction. Après intervention, contrôle les pages publiques, l’administration, les formulaires, les envois d’e-mails et les journaux d’erreurs.
WordPress : mettre aussi le cœur, les thèmes et les extensions à jour
Mettre WordPress à jour ne corrige pas ces deux failles PHP. Ce sont deux opérations distinctes et complémentaires. La version de PHP sécurise l’environnement d’exécution ; les mises à jour de WordPress, des plugins et du thème corrigent d’autres vulnérabilités et incompatibilités.
Pour un site WordPress, les bonnes pratiques sont les suivantes :
1. Faire une sauvegarde exploitable des fichiers et de la base de données.
2. Vérifier la version PHP et appliquer le correctif de sécurité.
3. Mettre à jour WordPress, les extensions et le thème, en contrôlant leur compatibilité.
4. Supprimer les extensions et thèmes inutilisés, et vérifier les comptes administrateurs.
5. Tester les formulaires, les pages essentielles et les fonctionnalités métiers.
Si un site présente déjà des redirections anormales, des comptes inconnus ou du contenu indésirable, la seule mise à jour ne suffit pas : un nettoyage de l’infection est nécessaire. Consulte également notre guide Site WordPress piraté : que faire ?.
PrestaShop : une mise à jour qui exige des vérifications métier
PrestaShop repose également sur PHP et peut donc être concerné par une faille du moteur PHP, indépendamment du cœur de la boutique. La mise à jour du moteur PHP reste prioritaire, mais il faut contrôler la compatibilité de la version PrestaShop, du thème et des modules installés avant de changer de branche PHP.
Sur une boutique en ligne, les tests doivent notamment couvrir le catalogue, les déclinaisons, le panier, le passage de commande, les paiements, les transporteurs, les stocks, les e-mails transactionnels, les tâches cron et les éventuelles synchronisations avec un logiciel de gestion. Une incompatibilité peut ne se révéler qu’à la validation d’une commande.
Il convient aussi de maintenir PrestaShop et ses modules à jour, selon les versions officiellement compatibles avec l’environnement de la boutique. Une mise à jour majeure ne doit pas être improvisée directement en production.
Les bons réflexes pour limiter les risques
Au-delà de cet épisode, la sécurité repose sur une maintenance régulière : sauvegardes testées, correctifs installés, accès administrateurs limités, mots de passe robustes, authentification renforcée lorsqu’elle est disponible et surveillance des fichiers et journaux d’erreurs.
La bonne approche : appliquer rapidement les correctifs de sécurité, mais préparer et tester les changements de version majeurs. Un site à jour et régulièrement contrôlé est bien moins exposé qu’une installation laissée plusieurs années sans maintenance.
Chez Concepty, nous accompagnons les professionnels dans la maintenance, les mises à jour, les migrations techniques et la sécurisation de leurs sites WordPress et boutiques PrestaShop.
Sources officielles : PHP — annonces de sécurité, CERT-EU — alerte du 21 octobre 2026, WordPress.org France — mise à jour critique de PHP.
*Article publié le 23 octobre 2026. Les versions et recommandations correspondent aux informations disponibles à cette date.*