Sécurité PHP 2026 : quelle version choisir pour WordPress ?

Deux vulnérabilités critiques découvertes le 21 octobre 2026 touchent le moteur PHP et peuvent permettre l’exécution de code à distance sur des serveurs vulnérables. Les failles CVE-2026-109618 et CVE-2026-109619 concernent de nombreuses versions de PHP utilisées par WordPress et d’autres applications web.

Quelle version de PHP choisir pour sécuriser son site WordPress ? Quelles versions sont corrigées et comment effectuer la mise à jour sans provoquer de dysfonctionnement ? Voici les versions recommandées, les étapes à suivre et les bonnes pratiques pour protéger votre site.

1. Vulnérabilités PHP 2026 : ce qu’il faut savoir

Le 21 octobre 2026, l’équipe de développement PHP a publié des correctifs pour deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619. Selon Google Cloud et les avis de sécurité officiels, leur exploitation peut entraîner une exécution de code à distance sans authentification ou une exposition de données sensibles.

Les deux vulnérabilités concernent la gestion de la mémoire et de l’état interne des requêtes PHP. Elles peuvent affecter plusieurs configurations serveur, notamment PHP-FPM, Apache avec mod_php, CGI et LiteSpeed.

Le risque ne se limite donc pas à WordPress : les sites utilisant d’autres CMS et applications développés en PHP peuvent également être concernés.

Pour les administrateurs de sites, la priorité est claire : identifier les versions vulnérables et installer les correctifs officiels dès que possible.

Sources : Google Cloud Security et Centre canadien pour la cybersécurité.

2. Quelle version de PHP choisir après les failles de sécurité ?

Pour corriger les vulnérabilités d’octobre 2026, plusieurs versions de PHP ont reçu des mises à jour de sécurité.

Version PHP	Version corrigée	Recommandation
PHP 8.5	8.5.12	Pour les sites compatibles avec cette branche
PHP 8.4	8.4.27	Choix prudent pour de nombreux sites en production
PHP 8.3	8.3.36	Pour les sites nécessitant une compatibilité spécifique
PHP 8.2	8.2.35	Correctif disponible, mais branche proche de la fin du support de sécurité

Ces versions corrigent les deux vulnérabilités mentionnées. Les versions antérieures aux correctifs restent concernées, sous réserve des éventuels correctifs rétroportés par certains fournisseurs.

PHP 8.4 ou PHP 8.5 : laquelle privilégier ?

Pour un site WordPress existant, PHP 8.4.27 constitue un choix prudent si le thème et les extensions sont compatibles. Il n’est pas nécessaire de migrer immédiatement vers une nouvelle branche si le site fonctionne correctement et que sa configuration a été validée.

PHP 8.5.12 est également une option pertinente pour les projets compatibles avec cette version. Avant de migrer, vérifiez toutefois les exigences de WooCommerce, des extensions commerciales et des développements personnalisés.

Si votre site utilise PHP 8.3, vous pouvez conserver cette branche corrigée lorsque la compatibilité l’exige, tout en préparant une migration à moyen terme.

Les sites fonctionnant sous PHP 8.1 ou une version antérieure nécessitent une attention particulière : ces branches ne bénéficient plus du support de sécurité standard du projet PHP. Vérifiez auprès de votre hébergeur si des correctifs spécifiques sont disponibles et planifiez une migration vers une branche prise en charge.

Consultez la documentation officielle des versions PHP pour connaître leur cycle de maintenance.

3. Comment vérifier la version PHP de son site WordPress ?

Avant toute mise à jour, identifiez la version PHP réellement utilisée par votre site.

Dans WordPress, rendez-vous dans Outils → Santé du site → Informations → Serveur. Vous y trouverez notamment la version de PHP utilisée pour traiter les requêtes du site.

Si votre hébergement utilise cPanel, vous pouvez également consulter l’outil de sélection de version PHP ou l’interface équivalente de votre fournisseur.

Attention : la version PHP utilisée par le terminal, les tâches cron ou certains autres services peut différer de celle du site web. Sur un hébergement mutualisé, demandez confirmation à votre hébergeur si vous avez un doute.

4. Comment mettre à jour PHP sans casser son site ?

La mise à jour de PHP doit être réalisée avec méthode, particulièrement sur un site WordPress professionnel ou une boutique WooCommerce.

Étape 1 : sauvegarder les fichiers et la base de données

Effectuez une sauvegarde complète des fichiers WordPress et de la base de données MySQL ou MariaDB. Vérifiez que vous pouvez restaurer cette sauvegarde avant de poursuivre.

Étape 2 : vérifier la compatibilité des extensions

Contrôlez les versions de WordPress, du thème actif et des extensions installées. Si vous utilisez WooCommerce, testez notamment le panier, le processus de paiement, les commandes, les emails et les intégrations de livraison.

Pour un site important, réalisez d’abord les essais sur un environnement de préproduction.

Étape 3 : installer une version corrigée

Dans cPanel, sélectionnez une version PHP corrigée proposée par votre hébergeur. Sur un serveur dédié ou VPS, vérifiez les paquets PHP installés et appliquez les mises à jour de sécurité appropriées.

Changer uniquement la version PHP dans cPanel ne garantit pas que tous les composants du serveur sont corrigés. Les administrateurs doivent également vérifier les paquets fournis par l’hébergeur et les correctifs appliqués à l’environnement d’exécution.

Étape 4 : tester le fonctionnement du site

Après la mise à jour, vérifiez l’affichage des pages, l’accès à l’administration, les formulaires, les fonctionnalités personnalisées et les journaux d’erreurs PHP.

Pour une boutique WooCommerce, effectuez également des tests de commande et de paiement dans des conditions contrôlées.

Si une erreur apparaît, analysez les journaux et corrigez la cause plutôt que de revenir automatiquement à une version vulnérable.

5. Une mise à jour PHP suffit-elle à sécuriser un site piraté ?

Non. Une mise à jour PHP corrige les vulnérabilités concernées, mais elle ne garantit pas qu’un site déjà compromis est redevenu sûr.

Si vous suspectez une intrusion, recherchez les fichiers suspects, les comptes administrateurs inconnus, les modifications inattendues et les tâches planifiées inhabituelles. Vérifiez également les extensions et les thèmes installés.

Si des identifiants ou des clés d’accès ont pu être exposés, renouvelez-les après avoir sécurisé l’environnement. En cas de compromission confirmée, faites examiner le site et restaurez une sauvegarde saine si nécessaire.

La sécurité repose sur plusieurs mesures complémentaires : mises à jour régulières, sauvegardes testées, mots de passe robustes, authentification à deux facteurs et surveillance des journaux serveur.

6. Comment renforcer la sécurité de son site WordPress ?

Pour réduire les risques, adoptez une routine de maintenance incluant les actions suivantes :

Maintenir PHP, WordPress, les extensions et les thèmes à jour.
Supprimer les extensions et les thèmes inutilisés.
Éviter les extensions piratées ou provenant de sources non fiables.
Limiter les privilèges des comptes utilisateurs.
Mettre en place des sauvegardes régulières et tester leur restauration.
Utiliser un pare-feu applicatif web (WAF) lorsque cela est adapté.
Surveiller les alertes de sécurité et les journaux du serveur.
Tester les mises à jour importantes avant leur déploiement sur un site critique.

Pour les sites professionnels hébergés sur cPanel, il est également important de confirmer que l’hébergeur a appliqué les correctifs nécessaires à l’environnement PHP.

FAQ : sécurité PHP et WordPress

Quelle est la version PHP recommandée en octobre 2026 ?

Les versions corrigées pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le choix dépend de la compatibilité du site et du support de la branche utilisée.

PHP 8.4.27 est-il un bon choix pour WordPress ?

Oui, si votre thème, vos extensions et votre version de WordPress sont compatibles. Cette version intègre les correctifs concernés, mais elle doit être installée dans un environnement correctement maintenu.

Comment savoir si mon site WordPress est vulnérable ?

Vérifiez la version PHP utilisée par le site et comparez-la aux versions corrigées. Si vous utilisez une ancienne version, contactez votre hébergeur pour confirmer l’application éventuelle de correctifs spécifiques.

Faut-il changer de version PHP après une attaque ?

Si votre version est vulnérable, installez une version corrigée prise en charge. Si le site a déjà été compromis, une analyse de sécurité supplémentaire est indispensable : la mise à jour ne supprime pas automatiquement les fichiers malveillants.

Une mise à jour PHP peut-elle casser un site WordPress ?

Oui, une incompatibilité entre PHP, le thème et certaines extensions peut provoquer des erreurs. Une sauvegarde complète et des tests préalables permettent de réduire ce risque.

Conclusion

Les vulnérabilités PHP d’octobre 2026 rappellent l’importance de maintenir son environnement technique à jour. Pour les sites WordPress et WooCommerce, la première mesure consiste à installer une version corrigée, puis à vérifier la compatibilité et le bon fonctionnement du site.

PHP 8.4.27 représente un choix prudent pour de nombreux sites existants compatibles, tandis que PHP 8.5.12 convient aux environnements validés avec cette branche. Dans tous les cas, la version doit rester prise en charge et recevoir les mises à jour de sécurité.

N’attendez pas qu’une erreur ou une intrusion soit constatée pour contrôler votre configuration. Une maintenance régulière et des sauvegardes fiables contribuent à protéger durablement votre site.

Sources officielles :

Informations vérifiées au 23 octobre 2026. Consultez les avis officiels pour prendre connaissance des mises à jour ultérieures.