Deux failles graves dans PHP : comment protéger votre site

Le 21 octobre, la fondation PHP a annoncé deux failles de sécurité dans le langage. Leur gravité est notée 9,2 sur 10. PHP fait tourner environ 7 sites sur 10 dans le monde, dont la plupart des sites WordPress : beaucoup de sites vitrines sont donc concernés. Le risque est sérieux. Un pirate peut entrer dans un site sans mot de passe, y lancer son propre code, modifier les pages ou copier la base de données, avec par exemple les messages et les adresses e-mail de vos clients. En Suisse, des sites d'universités et la plateforme des sapeurs-pompiers ont été coupés par précaution. Point intéressant : ces failles ont été trouvées par deux entreprises de sécurité, Calif et Wiz, avec l'aide de l'intelligence artificielle. Les mêmes outils peuvent servir aux pirates, ce qui raccourcit le temps entre la découverte d'une faille et les premières attaques. La bonne nouvelle : une version corrigée de PHP est disponible depuis le jour même. L'Office fédéral de la cybersécurité (OFCS) demande de l'installer sans attendre. Ce que nous vous conseillons de faire : 1. Mettre PHP à jour. Chez la plupart des hébergeurs, cela se fait depuis l'espace client, en choisissant la dernière version proposée. En cas de doute, demandez-leur si le correctif est appliqué. 2. Mettre à jour le reste : WordPress ou votre outil de gestion, les thèmes et les extensions. Supprimez ceux que vous n'utilisez plus. 3. Faire une sauvegarde complète du site et de sa base de données, et la garder ailleurs que sur le serveur. 4. Changer les mots de passe d'administration et de l'hébergement, surtout s'ils sont anciens ou utilisés ailleurs. 5. Surveiller votre site : une page modifiée, un compte inconnu ou un site soudain très lent sont des signaux d'alerte. Si vous ne pouvez pas mettre à jour tout de suite, l'OFCS recommande de mettre hors ligne les systèmes les plus sensibles, le temps d'appliquer le correctif. Vous ne savez pas quelle version de PHP utilise votre site, ou vous n'avez pas le temps de vous en occuper ? Hexora peut vérifier votre site, appliquer les mises à jour et vous dire clairement où vous en êtes. Contactez-nous, même si votre site n'a pas été fait par nous. Source : RTS, « Cybersécurité : deux failles majeures découvertes dans PHP », 21 octobre 2026.