Failles PHP d'octobre 2026 : pas de panique, voici ce qu'il faut vérifier

Si vous avez croisé ces derniers jours les mots « PHP2Shell », « faille critique » ou « mise à jour urgente », vous vous êtes peut-être demandé si votre site était en danger. Pour la grande majorité d'entre vous, la réponse tient en une phrase : votre hébergeur s'en occupe, et il vous reste simplement à vérifier que c'est fait.

Voici, sans jargon inutile, ce qui s'est passé, ce que cela change pour un site créé avec WebAcappella Fusion, et les quelques vérifications qui vous permettront d'avoir l'esprit tranquille.

Ce qui s'est passé

PHP est le langage qui fait fonctionner, côté serveur, une grande partie des sites web : WordPress, Joomla, de nombreuses boutiques en ligne… et les fonctions dynamiques des sites WebAcappella, comme le formulaire de contact, la boutique ou les pages à accès restreint.

Le 21 octobre 2026, l'équipe qui développe PHP a publié des versions corrigées pour deux failles de sécurité (références CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell »). Elles sont jugées sérieuses, avec une note de 9,2 sur 10, car elles pourraient permettre à un attaquant de faire exécuter ses propres instructions par un serveur, sans avoir besoin d'un mot de passe.

Si l'annonce a paru si soudaine, c'est que des informations avaient fuité la veille : PHP a donc avancé la sortie du correctif d'une journée. Des spécialistes de la sécurité ont signalé de premières tentatives d'attaque, d'autres n'en observaient pas encore : c'est pour cela que les hébergeurs ont agi vite. Les versions corrigées sont les suivantes :

• PHP 8.5 : version 8.5.12
• PHP 8.4 : version 8.4.27
• PHP 8.3 : version 8.3.36
• PHP 8.2 : version 8.2.35
• PHP 8.1 et antérieures : plus maintenues par l'équipe de PHP. Elles ne sont corrigées que si votre hébergeur a adapté le correctif lui-même.

Votre site WebAcappella est-il concerné ?

Ces failles se trouvent dans PHP lui-même, c'est-à-dire dans le logiciel installé sur le serveur de votre hébergeur. Elles ne se trouvent ni dans WebAcappella Fusion, ni dans votre projet, ni dans le contenu de votre site. Elles concernent tous les sites hébergés sur un serveur où PHP est actif, quel que soit l'outil qui a servi à les créer.

Un site publié avec WebAcappella contient toujours quelques fichiers PHP, même sans formulaire ni boutique. Inutile donc de chercher à savoir si votre site « utilise » PHP : la seule question utile est de savoir si le serveur qui l'héberge a été mis à jour.

Hébergement mutualisé : votre hébergeur fait le travail

La plupart des sites WebAcappella sont installés sur un hébergement mutualisé. Dans ce cas, PHP est entretenu par l'hébergeur, pas par vous : c'est lui qui installe le correctif sur ses serveurs.

o2switch, par exemple, a annoncé le déploiement des correctifs sur tous ses serveurs, appliqués automatiquement à chaque version de PHP, en précisant à ses clients qu'aucune action n'était nécessaire de leur côté.

Trois vérifications pour avoir l'esprit tranquille

1. Consultez les annonces de votre hébergeur. Page d'état des services, blog, réseaux sociaux ou e-mail aux clients : la plupart ont communiqué sur le sujet. Si l'annonce indique que le correctif est appliqué, vous n'avez rien d'autre à faire pour ces failles.
2. Vérifiez la version de PHP de votre site. Elle est indiquée dans l'espace client de votre hébergeur, souvent dans une rubrique « Version PHP » ou « Configuration PHP ». WebAcappella Fusion demande au minimum PHP 8.1. Si votre site tourne encore en 8.1 ou plus ancien, profitez-en pour passer à PHP 8.3 ou 8.4, deux versions toujours maintenues. PHP 8.2, de son côté, ne sera plus maintenu après le 31 décembre 2026 : autant anticiper.
3. En cas de doute, posez la question à votre hébergeur. Un simple message à son assistance suffit, voici un modèle à adapter.

Si vous changez de version de PHP, faites ensuite un petit essai : envoyez-vous un message avec le formulaire de contact de votre site et, si vous avez une boutique, parcourez-la jusqu'à la page de paiement. Si votre site n'a pas été republié depuis longtemps, republiez-le d'abord avec une version récente de WebAcappella Fusion, compatible avec PHP 8.1 à 8.5 : les fichiers serveur de votre site seront ainsi à jour. Et si quelque chose cloche, revenez à la version précédente le temps de nous contacter.

Vous gérez votre propre serveur (VPS ou dédié) ?

Si vous louez un serveur virtuel (VPS) ou dédié et que vous l'administrez vous-même, la mise à jour vous revient : installez la version corrigée de PHP, ou les paquets mis à jour par votre distribution, puis redémarrez les services PHP (PHP-FPM ou Apache) pour qu'elle soit prise en compte. OVHcloud a publié un guide pas à pas (en anglais), utile quel que soit votre fournisseur.

Ce qu'il est inutile de faire

• Bricoler la configuration PHP de votre site (fichier .user.ini, par exemple). PHP précise que ce type de réglage ne protège pas contre ces failles : la correction se fait au niveau du serveur.
• Télécharger un « script de test » ou un « correctif » trouvé en ligne. Des codes d'attaque circulent, et des chercheurs en sécurité préviennent que certains pourraient contenir des logiciels malveillants.
• Répondre à un e-mail alarmiste. Les actualités de sécurité très médiatisées attirent toujours des messages frauduleux du type « votre site est vulnérable, cliquez ici ». En cas de doute, passez par l'espace client de votre hébergeur, jamais par un lien reçu.
• Mettre WebAcappella Fusion à jour en urgence. La faille n'est pas dans Fusion : aucune mise à jour du logiciel n'est nécessaire pour la corriger, et votre projet n'a pas à être modifié.

Un atout des sites WebAcappella : l'original est chez vous

Un site créé avec WebAcappella Fusion a une particularité rassurante : son original ne vit pas sur le serveur, mais dans votre projet, sur votre ordinateur. Le site en ligne n'en est qu'une copie publiée. Si vous constatiez un jour quelque chose d'anormal (une page modifiée, une redirection inattendue), contactez votre hébergeur pour qu'il examine le serveur : vos pages, elles, se republient depuis votre projet.

Seule exception : si vous avez une boutique, les commandes et les comptes clients sont enregistrés sur le serveur. Pour ces données, ce sont les sauvegardes de votre hébergeur qui prennent le relais, et il est utile d'en connaître la fréquence.

En résumé

• Deux failles sérieuses ont été corrigées dans PHP le 21 octobre 2026. Elles concernent le serveur, pas WebAcappella Fusion ni votre projet.
• Sur un hébergement mutualisé, c'est votre hébergeur qui applique le correctif : vérifiez simplement son annonce.
• Profitez-en pour contrôler votre version de PHP : 8.3 ou 8.4 sont de bons choix, 8.1 et les versions plus anciennes ne sont plus maintenues.
• Sur un VPS ou un serveur dédié, mettez PHP à jour et redémarrez les services PHP.
• Ni bricolage ni script trouvé en ligne : la mise à jour du serveur est la seule vraie correction.

Les failles de ce type font partie de la vie ordinaire du web : elles sont découvertes, corrigées, puis déployées. L'important est que le correctif arrive vite sur votre serveur, et cette fois, les hébergeurs ont réagi dès sa publication.

Sources

• php.net : annonce officielle du 21 octobre 2026 et réglages temporaires (en anglais)
• CVE-2026-109618 et CVE-2026-109619 : avis de sécurité détaillés de PHP (en anglais)
• OVHcloud : guide pour les serveurs VPS et dédiés (en anglais)