PHP : une mise à jour urgente à préparer

Auteur : Rédaction Domeny.ForSale Publié le 21.10.2026

En bref : Si des correctifs de sécurité ont été publiés pour la version de PHP utilisée par votre site, prévoyez de les déployer rapidement. Commencez par identifier la version de PHP qui fait fonctionner le site, effectuez une sauvegarde et vérifiez la compatibilité du site avec la mise à jour. Les détails de l’annonce présentée comme une publication du 20 octobre 2026 doivent être confirmés sur le site officiel de PHP : sans en avoir vérifié le contenu, il est impossible d’indiquer avec fiabilité les failles concernées ou les numéros des versions corrigées.

Ce qu’une mise à jour de PHP change pour votre site

PHP est un environnement qui exécute le code des applications côté serveur. Il est notamment utilisé par WordPress, ainsi que par de nombreuses boutiques en ligne et applications développées sur mesure. Mettre à jour WordPress ne met pas automatiquement à jour PHP : ce sont des composants distincts, généralement administrés à des endroits différents.

Une faille dans PHP peut toucher un mécanisme, une extension ou un mode de traitement des données particulier. Son importance dépend de la configuration du serveur et du fonctionnement de l’application. Le simple fait d’utiliser PHP ne prouve pas que le site a été attaqué, mais l’absence de problèmes visibles ne garantit pas non plus sa sécurité.

Dans l’annonce officielle de PHP, vérifiez avant tout quelles versions sont concernées, lesquelles contiennent les correctifs et si l’exploitation de la faille nécessite une configuration particulière. Si vous ne savez pas évaluer ces conditions, transmettez l’annonce à l’administrateur ou au support technique de votre hébergeur. Ne fondez pas votre décision uniquement sur une brève information évoquant une « faille critique ».

Comment vérifier la version de PHP utilisée par le site

Le plus simple est de consulter le panneau de gestion de l’hébergement et de rechercher les paramètres PHP associés au domaine concerné. Dans WordPress, vous trouverez aussi des informations sur l’environnement serveur dans l’outil « Santé du site », sous l’onglet des informations. Vérifiez séparément chaque site important : les domaines d’un même compte peuvent utiliser des versions différentes.

Si vous avez accès à un terminal, la commande php -v affiche la version de PHP disponible en ligne de commande. Ce n’est pas nécessairement la version qui fait fonctionner le site web. Comparez le résultat avec la configuration du site dans le panneau de gestion ou demandez confirmation à l’administrateur.

Ne mettez pas à disposition du public un fichier contenant la fonction phpinfo(). Il révèle des détails de configuration qui ne devraient pas être accessibles à n’importe quel visiteur. Si vous avez créé un tel fichier pour un diagnostic, supprimez-le après avoir vérifié l’environnement.

Ce qu’il faut confier à l’hébergeur et ce que vous pouvez faire vous-même

Sur un hébergement mutualisé, le prestataire installe généralement les correctifs de PHP. Le choix d’une branche de PHP encore prise en charge et la compatibilité de l’application peuvent toutefois rester à votre charge. La présence d’une version plus récente dans le panneau de gestion ne signifie pas que votre domaine l’utilise déjà.

Vous pouvez envoyer ce court message au support technique :

Merci de me confirmer quelle version de PHP fait fonctionner mon domaine et si elle intègre les correctifs de l’annonce de PHP présentée comme une publication du 20 octobre 2026. Si un changement de version est nécessaire, merci de m’indiquer une version disponible et encore prise en charge, ainsi que la procédure pour rétablir la configuration précédente en cas de problème.

Sur votre propre serveur VPS ou sur un serveur dédié, la mise à jour incombe à l’administrateur, sauf si elle est comprise dans un service d’infogérance. Il doit vérifier les paquets PHP, les extensions utilisées et les processus qui font fonctionner le site, par exemple PHP-FPM. Les distributions du système d’exploitation peuvent fournir des correctifs sans adopter le même numéro de version que la dernière publication de PHP ; dans ce cas, l’avis de sécurité du fournisseur des paquets fait foi.

Effectuer la mise à jour en sécurité, étape par étape

Appliquer un correctif dans la branche de PHP déjà utilisée et passer à une autre branche sont deux changements différents. Le second peut nécessiter d’adapter le code, les plugins ou les extensions du serveur. Ne choisissez donc pas au hasard le numéro de version le plus élevé proposé dans le panneau de gestion.

Sauvegardez les fichiers et la base de données. Assurez-vous de savoir restaurer le site et de pouvoir accéder à la sauvegarde même en cas de problème avec l’hébergement.
Vérifiez la compatibilité de l’application. Contrôlez les prérequis du système, du thème, des plugins et des bibliothèques. Mettez les dépendances à jour si nécessaire.
Testez le changement sur une copie du site. L’environnement de test doit être aussi proche que possible de celui de production. Désactivez-y les paiements réels et l’envoi de messages aux clients.
Déployez la mise à jour à la date convenue. Si la faille est activement exploitée, ne reportez pas l’intervention dans le seul but d’attendre le créneau de maintenance idéal.
Vérifiez les fonctionnalités et les journaux d’erreurs. Testez la connexion aux comptes, les formulaires, l’envoi d’e-mails et les tâches planifiées. Pour une boutique, testez aussi le panier et les paiements en mode test.

Par exemple, après la mise à jour, la page d’accueil d’une boutique peut sembler fonctionner normalement alors qu’un ancien plugin de paiement ne tombe en panne qu’au moment de passer commande. Ouvrir simplement le site ne suffit pas pour considérer le déploiement comme réussi.

Que faire si le site n’est pas compatible avec une version sécurisée

Revenir à la configuration précédente peut rétablir temporairement le fonctionnement, mais ne supprime pas la vulnérabilité. Si vous annulez le changement, fixez en parallèle une échéance pour corriger l’application. Selon la menace, l’administrateur peut recommander de désactiver temporairement la fonctionnalité vulnérable, de restreindre l’accès ou de prévoir une interruption de service pour maintenance.

La mise à jour de PHP n’efface pas non plus les conséquences d’une intrusion antérieure. Des comptes administrateur inconnus, des fichiers modifiés ou des redirections suspectes nécessitent un contrôle de sécurité distinct.

Première mesure concrète : identifiez dès aujourd’hui la version de PHP qui fait fonctionner le domaine et obtenez confirmation qu’elle contient les correctifs nécessaires. C’est seulement sur cette base que vous pourrez choisir entre l’installation d’un correctif, le passage à une autre branche de PHP et la correction urgente d’une application incompatible.