Faille PHP du 21 octobre 2026 : changer la version de PHP

Le 21 octobre, deux failles critiques ont été corrigées dans PHP (CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell »). Ces failles sont tellement préoccupantes que même le site des impôts, comme ceux de toutes les préfectures, ont été mis en maintenance pour des raisons de sécurité. Elles permettent dans certaines conditions de prendre le contrôle d’un serveur avec une simple requête, sans mot de passe. Si votre site tourne sous PHP, ce qui est le cas de WordPress, WooCommerce et PrestaShop, vous êtes concerné. Une personne mal intentionnée pourrait en prendre le contrôle et porter atteinte à votre réputation.

Vous n’êtes pas sûr de vous ? Prenez contact et je vous dis rapidement si vous êtes concerné ou pas.

Ce qu’il faut comprendre en deux minutes

Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les branches plus anciennes (7.4, 8.0, 8.1) ne sont plus maintenues par le projet PHP. Mettre à jour WordPress seul ne change rien car la faille est dans le moteur PHP du serveur qui héberge votre site. Sur un hébergement mutualisé, ce qui est très certainement votre cas, c’est l’hébergeur qui installe les versions corrigées, mais c’est vous qui choisissez la branche de PHP utilisée par votre site. Et beaucoup de sites tournent encore sur une branche obsolète sans que leur propriétaire le sache.

Chez O2Switch

O2Switch a réagi rapidement en mettant en place une mitigation du problème. Au soir du 21, le support disait attendre les paquets de CloudLinux, le système de ses serveurs, avant de déployer les versions corrigées. Le statut a pu évoluer depuis, pensez à vérifier. Le piège, c’est la version « native » de cPanel. D’après la FAQ d’O2Switch, c’est PHP 8.1, qui n’a plus de version officielle corrigée. Si vous n’avez jamais touché ce réglage, votre site est probablement dessus.

Pour changer :

1. Connectez-vous à cPanel, rubrique Logiciels, outil Sélectionner une version de PHP.
2. Dans le menu déroulant, choisissez la version 8.3.
3. Cliquez sur Apply. Le bouton disparaît une fois le réglage enregistré, c’est normal.
4. Laissez les extensions cochées par défaut, sauf si votre site en demande d’autres.

Chez OVHcloud

OVHcloud a appliqué une protection provisoire le 21 octobre à 10 h (heure de Paris), puis a annoncé le déploiement des versions corrigées sur ses hébergements web pour les versions 7.4 à 8.5. Des utilisateurs ont signalé des erreurs 500 dans la journée pendant ce déploiement. Si votre site a eu un coup de mou, ça mérite un contrôle.

Pour changer :
Dans l’espace client, allez dans Web Cloud, puis Hébergements, et choisissez votre hébergement.
2. Onglet Informations générales, bloc Configuration : la version actuelle y est affichée.
3. Cliquez sur les trois petits points, puis Modifier la configuration.
4. Choisissez la nouvelle version. Selon la version visée, OVHcloud peut demander de passer l’environnement d’exécution en Stable64 : c’est normal.

Chez un autre hébergeur

Le principe est partout le même : trouvez le réglage de version de PHP dans votre espace client (souvent sous « PHP », « Sélecteur PHP » ou « Configuration »), choisissez une branche maintenue, puis vérifiez le résultat. Si vous ne le trouvez pas, c’est que l’hébergeur le gère à votre place, et son support vous le confirmera.

Quelle version choisir

• PHP 8.3 ou 8.4 : le bon choix pour un site WordPress ou WooCommerce actuel. Les correctifs de sécurité sont assurés jusqu’en 2027 pour la 8.3 et 2028 pour la 8.4.
• PHP 8.2 : corrigée, mais en fin de vie le 31 décembre 2026. Vous referez la manipulation avant la fin de l’année.
• PHP 8.5 : corrigée, mais la plus récente. Certaines extensions n’ont pas fini de s’y adapter. Pour un site en production, je préfère la 8.3 ou la 8.4.

Avant de monter depuis une vieille version, vérifiez que votre thème et vos extensions suivent. Ce sont ces éléments qui cassent, rarement WordPress lui-même.
Si le site casse après le changement, une page blanche ou une erreur 500 vient presque toujours d’une extension PHP manquante ou d’un thème ancien. Revenez à la version précédente dans le même menu, mettez à jour l’élément fautif, puis réessayez. Faites une sauvegarde complète avant de toucher quoi que ce soit, et gardez-la hors du serveur.