Votre site vitrine, votre extranet client ou votre logiciel de gestion tourne peut-être sur PHP sans que vous le sachiez. Le 21 octobre 2026, deux vulnérabilités critiques de ce langage ont déclenché une alerte du CERT-FR et un appel européen à corriger sans attendre. Une faille PHP de ce niveau permet en effet à un inconnu de prendre la main sur un serveur, sans mot de passe.
Or, selon W3Techs, environ 69 % des sites web dont le langage serveur est connu utilisent PHP (octobre 2026). Ce guide vous aide donc à savoir si vous êtes concerné et quoi faire cette semaine, avec l’appui des équipes cybersécurité du Groupe Izitek.
Deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10, permettent d’exécuter du code à distance sur un serveur sans authentification. Elles touchent PHP 5 à 8.1, ainsi que les branches 8.2 à 8.5 non mises à jour. Une TPE ou une PME doit donc identifier ses sites et applications en PHP. Il faut ensuite passer aux versions 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, puis vérifier sauvegardes et journaux.
PHP est le langage qui fait fonctionner une grande partie du web, notamment WordPress, de nombreux sites marchands et beaucoup de logiciels métier hébergés. Les deux vulnérabilités publiées le 21 octobre 2026 touchent le cœur du langage, et non une extension ou un thème. Elles exploitent une mauvaise gestion de la mémoire lors du traitement de certaines requêtes envoyées au serveur.
Le danger tient en trois points. D’abord, l’attaque se lance à distance. Ensuite, elle ne demande ni identifiant ni clic d’un salarié. Enfin, elle donne à l’attaquant les droits du serveur web. Il peut alors installer un logiciel malveillant, voler des données ou rebondir vers les serveurs et systèmes de votre réseau.
L’alerte est aussi européenne. L’ENISA, la Commission européenne, Europol et le CERT-EU ont signé une déclaration commune le jour même. Plusieurs administrations ont par ailleurs coupé temporairement certains sites, dont des sites de préfectures, le temps de sécuriser leurs serveurs.
Oui, très probablement, dès lors que vous avez un site web ou un outil accessible depuis un navigateur. La question n’est donc pas de savoir si PHP est présent, mais où il se cache. Voici les cas les plus fréquents dans une TPE ou une PME :
En revanche, le risque varie selon votre hébergement. Chez beaucoup d’hébergeurs mutualisés, vous choisissez la version de PHP dans l’espace client : si personne n’y a touché depuis des années, elle peut dater. Sur un serveur dédié, un hébergement cloud ou un serveur dans vos locaux, la mise à jour dépend alors de votre prestataire ou de vous.
Une prise de contrôle du serveur touche vite la trésorerie, les clients et la réputation, car elle dépasse le simple incident technique :
En cas de fuite de données personnelles, le RGPD impose en outre de notifier la CNIL dans les 72 heures. Les chiffres de l’ANSSI sur la cybersécurité des PME montrent par ailleurs que les petites structures sont des cibles régulières, justement parce qu’elles corrigent plus lentement.
La bonne réponse tient en cinq étapes, à mener dans l’ordre.
Selon Le Monde Informatique, les chercheurs ont repéré ces deux vulnérabilités avec l’aide de l’intelligence artificielle. L’IA accélère l’analyse du code et la découverte de défauts. Elle sert aussi les attaquants, comme le montrent les attaques assistées par IA qui visent les PME.
Le vrai défi devient alors la vitesse de correction. Une entreprise qui découvre une alerte trois semaines après sa publication laisse une porte ouverte pendant trois semaines. Les obligations de la directive NIS2 et le rôle du prestataire d’infogérance vont d’ailleurs dans ce sens.
Le Groupe Izitek, basé à Éguilles près d’Aix-en-Provence, réunit plusieurs sociétés spécialisées. Face à une faille PHP, cette organisation évite à un dirigeant de coordonner seul l’hébergeur, l’agence web et le prestataire informatique. C’est tout le principe d’un groupe informatique multi-métiers.
Plusieurs entités du groupe interviennent selon vos besoins :
Les équipes interviennent depuis les agences d’Éguilles, de Marseille, de Cavaillon et de La Penne-sur-Huveaune. Elles couvrent en priorité la région PACA, mais aussi toute la France.
Après une telle alerte, quelques indicateurs simples permettent de juger votre niveau de protection. Ainsi, vous devriez pouvoir donner sans hésiter :
Si l’une de ces réponses reste floue, notre check-list cybersécurité pour les PME est un bon point de départ.
Exemple illustratif : un cabinet d’architectes de quinze personnes à Aix-en-Provence possède un site WordPress en PHP 7.4 chez un hébergeur mutualisé. Il utilise aussi un extranet de partage de plans, installé sur un petit serveur dans ses locaux.
Le jour de l’alerte, son prestataire informatique dans les Bouches-du-Rhône consulte l’inventaire du parc et repère les deux outils en moins d’une heure. Après une sauvegarde complète, il bascule le site en PHP 8.3, puis teste les formulaires de contact. Il coupe ensuite l’accès Internet de l’extranet, plus ancien, le temps de préparer sa migration. Enfin, l’examen des journaux ne montre aucune trace d’intrusion. Ainsi, le dirigeant n’a eu qu’une décision à prendre : valider la coupure temporaire de l’extranet.
Cette faille PHP rappelle une réalité simple : un site ou une application web non mis à jour reste une porte d’entrée, même dans une petite entreprise. La réponse passe par un inventaire fiable, des correctifs appliqués vite, des sauvegardes testées et une surveillance continue. Le Groupe Izitek réunit ces compétences au sein d’un même interlocuteur, de la cybersécurité à l’infogérance.
Vous souhaitez savoir quelles actions prioriser dans votre entreprise ? Contactez Izitek pour échanger sur votre environnement et identifier une feuille de route adaptée à vos enjeux, votre activité et votre budget.
Oui, s’il fonctionne avec une version de PHP non corrigée, ce qui reste fréquent sur les hébergements anciens. WordPress lui-même n’est pas en cause : c’est le langage qui le fait tourner. Vérifiez la version affichée dans votre espace d’hébergement ou dans l’outil « Santé du site » de WordPress, puis passez à une version maintenue.
Cela dépend de votre offre. Les hébergeurs mutualisés corrigent généralement leurs versions de PHP, mais vous laissent souvent choisir la branche utilisée : un site resté en PHP 7.4 n’est donc pas protégé automatiquement. Sur un serveur dédié ou un VPS, la mise à jour revient au client ou à son prestataire.
Restaurez la sauvegarde réalisée juste avant l’intervention, puis identifiez l’extension ou le thème incompatible. Dans la plupart des cas, une mise à jour de ce composant suffit. Lorsque le site repose sur un développement ancien, mieux vaut prévoir une refonte qu’un retour durable à une version vulnérable. Un plan de reprise d’activité prévoit justement ce type de scénario.
Faites analyser les journaux du serveur web à la recherche de requêtes anormales, de fichiers récemment créés ou de connexions sortantes inhabituelles. Un compte administrateur inconnu ou un site soudain très lent sont aussi des signaux d’alerte. En cas de doute, isolez le serveur et contactez un spécialiste avant toute remise en ligne.
Oui, plusieurs dispositifs publics existent en 2026, notamment des diagnostics cyber subventionnés et des aides régionales. Leurs conditions varient selon la taille de l’entreprise et la région. Notre article sur les aides à la cybersécurité des PME détaille les dispositifs en vigueur et les démarches à suivre.
Non, pas forcément. Une petite entreprise peut confier cette veille à un prestataire qui suit les alertes, applique les correctifs et rend compte au dirigeant. Le choix dépend de votre taille, de votre budget et du nombre d’outils exposés. Nos conseils pour bien choisir son prestataire informatique vous aident à comparer les options.
