En bref
- Le 20 octobre 2026, deux failles critiques ont été révélées dans PHP, le langage qui fait fonctionner WordPress.
- Les correctifs ont été appliqués dans la nuit du 21 au 22 octobre. Nous avons ensuite vérifié un par un tous les sites que nous gérons : 100 % de notre parc est à jour, sans aucune interruption de service.
- Vos sites Web restent sous surveillance en continu. Vous n’avez rien à faire.
La semaine dernière, deux failles de sécurité critiques ont été révélées dans PHP (CVE-2026-109618 et CVE-2026-109619), notées 9,2 sur 10. PHP, c’est le langage qui fait fonctionner WordPress, WooCommerce et près de 70 % des sites Web dans le monde. Autant dire que tout le secteur a vécu quelques jours agités.
On fait le point avec vous, simplement.
Ce qui s’est passé
Le mardi 20 octobre en soirée, des informations sur ces failles ont fuité avant la date prévue. Concrètement, elles pouvaient permettre à un pirate informatique d’exécuter du code sur un serveur sans avoir besoin d’aucun mot de passe. Toutes les versions de PHP en service étaient touchées, chez tous les hébergeurs.
Ce que nous avons fait
- Le mercredi 21 octobre, l’équipe de PHP a publié les correctifs officiels.
- Dans la nuit, notre hébergeur, Infomaniak, les a déployés sur l’ensemble de ses serveurs.
- Jeudi et vendredi, nous avons vérifié un par un tous les sites que nous gérons. Résultat : 100 % de notre parc fonctionne aujourd’hui avec une version de PHP corrigée, y compris les sites mis en ligne il y a plusieurs années, et sans la moindre interruption de service pour nos clients.
C’est là que notre taille joue en notre faveur. Une agence à taille humaine connaît chacun des sites qu’elle gère. Pas de centre d’appels, pas de billet de soutien, pas de file d’attente : dès la publication du correctif, nous avons passé en revue l’ensemble de notre parc nous-mêmes, site par site.
Une surveillance qui ne s’arrête pas là
Vos sites sont suivis en continu : pare-feu, analyse de sécurité quotidienne et alertes en cas d’activité anormale. Ce genre d’épisode finit toujours par arriver, un jour ou l’autre. C’est justement pour ça que la surveillance fonctionne en permanence, pas seulement quand l’actualité s’emballe.
Preuve que le sujet n’est jamais vraiment clos : le 23 octobre, l’équipe de PHP a signalé une troisième faille, beaucoup moins préoccupante. Elle ne touche que des configurations très inhabituelles et sera corrigée lors de la prochaine mise à jour régulière de PHP. On la suit comme le reste.
Et maintenant?
On profite de cet épisode pour accélérer un travail de fond : faire évoluer graduellement les environnements les plus anciens vers les dernières versions de PHP et vers la nouvelle infrastructure de notre hébergeur. Un site Web, ça ne se fait pas une fois pour toutes, ça s’entretient : c’est tout le sens de notre forfait de maintenance. Si une de ces opérations doit rendre votre site indisponible quelques instants, on vous avise avant.
De votre côté?
Rien à faire. Pour toute question sur votre site ou votre hébergement, écrivez-nous, on prend le temps de vous répondre.
William, fondateur de HDKN
