Les récentes failles de sécurité affectant PHP rappellent à quel point la maintenance et la sécurisation d’un site internet sont essentielles. Face à ces vulnérabilités, la réactivité des hébergeurs et des prestataires web joue un rôle déterminant pour limiter les risques. Dans cet article, nous revenons sur le déroulement des événements, les sites potentiellement concernés, la mobilisation de SEOfirst et les vérifications à effectuer pour s’assurer que votre site bénéficie bien des correctifs nécessaires.
Contexte et découverte de la faille
Le 20 octobre dernier, une faille de sécurité affectant le langage PHP a été rendue publique. Cette vulnérabilité a nécessité une mobilisation rapide des hébergeurs et des prestataires web afin de sécuriser les environnements concernés et de limiter les risques d’exploitation.
Dès le 21 octobre, plusieurs hébergeurs, notamment OVH, LWS, NUXIT et Kinsta, ont commencé à déployer les correctifs nécessaires sur leurs infrastructures. Cela a été effectif aussi bien sur les serveurs VPS que sur les environnements d’hébergement mutualisés.
PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 (notées 9,2 sur 10 en gravité) permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
Quels sites sont concernés par cette faille ?
La faille PHP concerne un grand nombre de sites. Ce langage est utilisé par de nombreuses plateformes très répandues. Parmi les plus connues, on retrouve WordPress, PrestaShop, Drupal, Joomla ou encore Magento.
Concrètement, si votre site utilise l’une de ces solutions, ou s’il a été développé sur mesure avec PHP, il est important de vérifier que les mesures de sécurité nécessaires ont bien été appliquées.
Ce qu’il faut retenir : tous ces sites ne sont pas automatiquement vulnérables. Le risque dépend notamment de la version de PHP. Le plus simple est donc de demander en interne à votre DSI, à votre prestataire web ou à votre hébergeur de confirmer que votre site et son environnement technique sont bien à jour et sécurisés.
Un point de vigilance pour les décideurs
Il est important de distinguer les correctifs appliqués au niveau de l’hébergement de ceux qui peuvent être nécessaires au niveau du site internet lui-même. Selon la configuration technique, la version de PHP utilisée et les composants installés, une intervention complémentaire peut être nécessaire. Information à vérifier auprès de votre prestataire en charge de la maintenance de site.
Ainsi, l’absence de communication de la part d’un prestataire ne signifie pas nécessairement que les correctifs n’ont pas été appliqués. En revanche, il est légitime de demander une confirmation explicite des mesures prises et de vérifier que l’ensemble des éléments concernés a bien été traité.
Où en sommes-nous à J+7 ?
Cette faille concernerait potentiellement près de 70 % des sites internet dans le monde, soit un périmètre estimé à environ 22 millions de sites.
À J+7 de sa révélation publique, nous nous interrogeons sur le niveau réel de déploiement des correctifs à l’échelle du parc web mondial. Il est difficile, à ce stade, de mesurer précisément combien de sites ont effectivement été sécurisés et combien restent exposés. Seul le temps permettra d’évaluer les éventuelles conséquences de cette vulnérabilité et ses impacts réels sur les sites concernés.
Du côté de SEOfirst, nous avons appliqué les correctifs sur 89 % de notre portefeuille clients à ce jour.
Pour les sites restants, certaines situations s’expliquent notamment par des arbitrages propres aux clients, dont le maintien de sites sous PHP 7.4. Ces configurations nécessitent une attention particulière. En effet, une version ancienne de PHP peut présenter des enjeux de sécurité spécifiques et demander des mesures adaptées.
La mobilisation SEOfirst dès le 21 octobre
Chez SEOfirst, dès le 21 octobre, date à laquelle les correctifs ont commencé à être déployés par les hébergeurs, nous avons pleinement mobilisé notre équipe.
Notre priorité a été d’intervenir rapidement pour sécuriser les environnements techniques, tout en veillant à préserver le bon fonctionnement des sites, de leurs fonctionnalités et leur sécurité.
Quelles actions réalisées après le déploiement des correctifs ?
Voici ce que nous recommandons à nos clients :
L’objectif de cet article
Cet article n’a pas vocation à être alarmiste.
Son objectif est avant tout pédagogique. Expliquer le déroulement des événements, rendre les enjeux compréhensibles et inviter chaque décideur à vérifier que les correctifs ont bien été déployés sur son site et/ou sa plateforme incluant du langage PHP.
Nous avions d’ailleurs communiqué sur le profil Linkedin d’Ana Gonçalves afin de partager cette information au plus grand nombre.
Dans ce contexte, nous encourageons chacun à solliciter son prestataire technique. L’objectif est d’obtenir une confirmation claire de la situation, des actions réalisées. Si vous n’avez plus de prestataire technique, consultez-en un rapidement.
