Faille PHP : que faire pour votre site WordPress ?

Si votre site tourne sous WordPress, il n’y a rien à mettre à jour dans WordPress lui-même. Ce qu’il faut vérifier, c’est la version de PHP installée chez votre hébergeur.

Le 21 octobre 2026, WordPress.org a relayé une version de sécurité de PHP qui corrige deux vulnérabilités jugées critiques, et invite les propriétaires de sites à mettre PHP à jour immédiatement. Pour la plupart d’entre vous, l’affaire se règle avec une vérification de quelques minutes et un mail à l’hébergeur.

PHP, c’est quoi, et pourquoi ça vous concerne

PHP est le langage qui fait tourner WordPress sur le serveur de votre hébergeur. Vous ne le voyez jamais, alors vous l’oubliez. WordPress exige PHP 7.4 ou plus.

D’après le billet de WordPress.org, ces failles touchent tout serveur qui fait tourner une application PHP, WordPress compris.

Si votre site n’est pas sous WordPress et que vous ignorez sur quoi il repose, demandez à votre prestataire : « mon site utilise-t-il PHP, et en quelle version ? »

Vérifier votre version de PHP

Connectez-vous à l’administration de votre site, puis ouvrez le menu Outils, Santé du site, et l’onglet des informations, partie serveur (en anglais : Tools, Site Health, Info, Server). La version de PHP y est indiquée.

Deux repères. D’après le billet de WordPress.org, les versions de PHP antérieures à la 8.2 ne reçoivent plus de mises à jour de sécurité du projet PHP : si vous lisez 7.4, 8.0 ou 8.1, votre site tourne sur une version que ses auteurs ne corrigent plus, faille d’octobre ou pas. Et WordPress recommande aujourd’hui PHP 8.3 ou plus.

Si vous n’avez pas d’accès à l’administration, ou si vous ne trouvez pas ce menu, c’est déjà un signal : ces accès doivent être à votre nom.

Le mail à envoyer à votre hébergeur

Votre hébergeur a peut-être déjà fait le travail. WordPress.org précise que les hébergeurs peuvent être en train de mettre PHP à jour et de poser des règles de pare-feu applicatif. « Peut-être » ne suffit pas : demandez-le par écrit.

Posez-lui trois questions. Les correctifs PHP signalés par WordPress.org le 21 octobre sont-ils appliqués sur mon hébergement ? Quelle version de PHP utilise mon site ? Puis-je passer à une version plus récente moi-même, depuis mon espace client, ou devez-vous le faire ?

La page « Update PHP » de WordPress.org le rappelle : la manière de procéder dépend de l’hébergeur. Certains laissent changer la version dans leurs réglages, d’autres le font sur demande.

Avant de changer de version, une sauvegarde

Monter de version PHP sur un site mal entretenu peut casser une extension ou le thème : WordPress.org demande de vérifier leur compatibilité avant de franchir le pas. Il conseille un ordre précis, que je trouve juste :

• faire une sauvegarde, pour pouvoir revenir en arrière ;
• mettre à jour WordPress, les thèmes et les extensions, puis vérifier que le site fonctionne ;
• contrôler leur compatibilité avec la nouvelle version ;
• corriger ce qui coince ;
• seulement ensuite, changer la version de PHP.

Pour la compatibilité, WordPress.org cite l’extension PHP Compatibility Checker, tout en prévenant qu’elle peut laisser passer des problèmes ou en signaler à tort. Je la considère comme un premier filtre. Juste après le changement, faites quand même le tour du site, page par page, formulaires compris.

Pendant que vous y êtes, regardez la version de WordPress. La 7.1.3, publiée le 6 octobre, contient 7 correctifs de sécurité. Sur les sites qui prennent en charge les mises à jour automatiques en arrière-plan, elle s’installe d’elle-même ; sur les autres, il faut la lancer depuis le menu des mises à jour du tableau de bord.

Ce que je pense de ce genre d’alerte

Pour moi, une faille PHP critique fait partie de la vie normale d’un logiciel connecté à internet, et c’est ce que la maintenance d’un site est censée absorber sans que vous l’appreniez par la presse.

Je ne peux pas vous dire si votre site sera piraté demain si vous ne faites rien, et personne ne le peut. En revanche, un site sur une version de PHP qui ne reçoit plus de correctifs reste exposé à toutes les failles à venir.

Le jour où vous comparez des offres, posez cette question : qui surveille ces versions, et qui agit quand une alerte tombe ? C’est le cœur de ce qu’un forfait de maintenance doit inclure.

Si vous préférez que ce soit quelqu’un d’autre que vous, c’est ce que comprend ma maintenance, dès 49 €/mois, sans engagement : l’hébergement, les mises à jour, les sauvegardes vérifiées et la surveillance, WordPress compris. Les sites créés par d’autres peuvent être repris dans la plupart des cas, sauf ceux des plateformes fermées comme Wix.