En bref
- Le 20 octobre 2026, deux failles critiques ont été révélées dans PHP, le langage qui fait tourner WordPress.
- Les correctifs ont été appliqués dans la nuit du 21 au 22 octobre. Nous avons ensuite contrôlé un par un tous les sites que nous gérons : 100 % de notre parc est à jour, sans aucune interruption de service.
- Vos sites restent sous surveillance continue. Vous n’avez rien à faire.
La semaine dernière, deux failles de sécurité critiques ont été révélées dans PHP (CVE-2026-109618 et CVE-2026-109619), notées 9,2 sur 10. PHP, c’est le langage qui fait tourner WordPress, WooCommerce et près de 70 % des sites web dans le monde. Autant dire que tout le secteur a passé quelques jours agités.
On vous fait le point simplement.
Ce qui s’est passé
Mardi 20 octobre au soir, des informations sur ces failles ont fuité avant la date prévue. Concrètement, elles pouvaient permettre à un pirate d’exécuter du code sur un serveur sans avoir besoin du moindre mot de passe. Toutes les versions de PHP en service étaient concernées, chez tous les hébergeurs.
Ce que nous avons fait
- Mercredi 21 octobre, l’équipe PHP a publié les correctifs officiels.
- Dans la nuit, notre hébergeur Infomaniak les a déployés sur l’ensemble de ses serveurs.
- Jeudi et vendredi, nous avons contrôlé un par un tous les sites que nous gérons. Résultat : 100 % de notre parc tourne aujourd’hui sur une version de PHP corrigée, y compris les sites mis en ligne il y a plusieurs années, et sans la moindre interruption de service pour nos clients.
C’est là que notre taille joue en notre faveur. Une agence à taille humaine connaît chacun des sites qu’elle gère. Pas de standard, pas de ticket, pas de file d’attente : dès la publication du correctif, nous avons passé en revue l’ensemble de notre parc nous-mêmes, site par site.
Une surveillance qui ne s’arrête pas là
Vos sites sont suivis en continu : pare-feu, analyse de sécurité quotidienne et alertes en cas de comportement anormal. Ce genre d’épisode, on sait qu’il finit toujours par arriver un jour ou l’autre. C’est justement pour ça que la surveillance tourne en permanence, pas seulement quand l’actualité s’emballe.
Preuve que le sujet n’est jamais vraiment clos : le 23 octobre, l’équipe PHP a signalé une troisième faille, bien moins préoccupante. Elle ne touche que des configurations très inhabituelles et sera corrigée lors de la prochaine mise à jour régulière de PHP. On la suit comme le reste.
Et maintenant ?
On profite de cet épisode pour accélérer un travail de fond : faire évoluer progressivement les environnements les plus anciens vers les dernières versions de PHP et vers la nouvelle infrastructure de notre hébergeur. Un site, ça ne se fait pas une fois pour toutes, ça s’entretient : c’est tout le sens de notre forfait de maintenance. Si une de ces opérations doit rendre votre site indisponible quelques instants, on vous prévient avant.
De votre côté ?
Rien à faire. Si vous avez la moindre question sur votre site ou votre hébergement, écrivez-nous, on prend le temps de vous répondre.
William, fondateur de HDKN
