Une vulnérabilité critique dans PHP fait réagir le web. Chez WHC, on s’en occupe pour vous.

Dernière mise à jour : 22 octobre 2026

Une vulnérabilité de sécurité critique dans PHP, un logiciel qui fait fonctionner une grande partie des sites web, fait les manchettes ici et partout dans le monde.

Si votre site est hébergé chez WHC, voici la version courte: notre équipe est déjà sur le coup, et la grande majorité de nos clients sont protégés.

Voici maintenant ce qui se passe, ce que WHC a fait pour vous protéger et surtout, si vous devez faire quoi que ce soit de votre côté.

Ce qui se passe avec PHP

Le 21 octobre 2026, des chercheurs en cybersécurité ont dévoilé deux vulnérabilités critiques dans PHP, surnommées « PHP2Shell ».

PHP est un langage de programmation qui travaille en arrière-plan pour faire fonctionner les sites web: afficher le contenu, parler aux bases de données, tout ça. Près de 70% des sites dans le monde l’utilisent. Ça inclut la plupart des sites WordPress, Drupal et Joomla.

C’est pour ça que cette vulnérabilité fait autant de bruit.

En clair: si aucun correctif n’est appliqué, ces vulnérabilités pourraient permettre à un pirate d’exécuter du code malveillant sur un serveur non protégé. Cela doit être pris au sérieux. C’est pour ça que PHP a publié des correctifs d’urgence aujourd’hui, et que le sujet est partout dans l’actualité.

Le mot-clé, ici, c’est « serveur non protégé ». Un serveur corrigé, c’est une porte refermée.

Ce que WHC a fait pour vous protéger

Dès que la vulnérabilité a été rendue publique et qu’un correctif de sécurité a été disponible, notre équipe de sécurité s’est mise au travail pour l’appliquer rapidement sur nos serveurs.

Bonne nouvelle: tous les serveurs gérés par WHC sont maintenant protégés.

Cela concerne la grande majorité de nos clients. Si vous utilisez nos services d’Hébergement Web, d’Hébergement WordPress, d’Hébergement Revendeur, ou encore un VPS ou un Serveur Dédié géré par WHC, vous n’avez rien à faire. Nous nous sommes occupés de tout pour vous.

Cette nouvelle vulnérabilité (encore une!) nous rappelle que les cybermenaces sont de plus en plus fréquentes et sérieuses.

Heureusement, chez WHC, nous avons une équipe qui reste à l’affût en tout temps. Surveiller les menaces, détecter les risques et agir rapidement pour protéger nos clients.

C’est aussi ça, être hébergé chez WHC: avoir une équipe qui veille sur votre hébergement, même quand vous n’y pensez pas.

Pourquoi votre numéro de version PHP n’a peut-être pas changé

Si vous avez vérifié votre version de PHP depuis que la nouvelle est sortie, vous avez peut-être vu un numéro qui semble plus ancien que la version corrigée dans les manchettes. Sur PHP 8.4, par exemple, votre compte pourrait afficher 8.4.26 alors que la version corrigée est 8.4.27. C’est normal de se demander si quelque chose a été oublié.

Rien n’a été oublié. Tout dépend de la façon dont le correctif s’est rendu jusqu’à nos serveurs. C’est ce qu’on appelle le backporting.

Le backporting, c’est quoi?

Pensez à un rappel de sécurité sur une voiture. Le fabricant découvre un défaut, sort un nouveau modèle de voiture corrigé, et vous croyez devoir acheter la nouvelle pour être en sécurité. Pas du tout. Le garage installe la même pièce corrigée dans la voiture que vous avez déjà. Votre immatriculation indique encore l’ancienne année-modèle. Mais le défaut, lui, a disparu.

Le backporting fonctionne de la même façon. Quand un correctif de sécurité arrive dans une nouvelle version d’un logiciel, ce correctif peut être repris et appliqué à la version que vous utilisez déjà, sans vous faire passer à un nouveau numéro de version. Même version sur papier. Vulnérabilité refermée.

L’important: ce n’est pas un nouveau numéro de version qui vous protège. C’est le correctif. Et le correctif est en place.

Pourquoi votre compte affiche encore l’ancien numéro

Nos serveurs d’hébergement fonctionnent sous CloudLinux. Quand le correctif PHP est sorti, CloudLinux l’a appliqué directement dans ses versions PHP existantes au lieu de passer au tout nouveau numéro de version. Le numéro que vous voyez dans cPanel, phpinfo ou WordPress est donc resté le même, pendant que la protection, elle, a été ajoutée en dessous.

C’est pour ça qu’un serveur corrigé peut encore afficher 8.4.26. Le numéro de version à lui seul ne vous dit pas si vous êtes protégé. Le journal des modifications (changelog), oui.

Si vous êtes sur un de nos serveurs gérés et que vous voyez encore une de ces versions, le correctif est déjà appliqué:

• PHP 8.2.34
• PHP 8.3.35
• PHP 8.4.26
• PHP 8.5.11

Chacune se situe juste en dessous de la version officielle de PHP correspondante, et c’est voulu. Cet écart, c’est le backporting, pas une mise à jour manquante.

Vous voulez le détail technique complet? CloudLinux, l’entreprise derrière le logiciel de nos serveurs, a publié la liste complète des paquets corrigés et la façon de le confirmer. Si vous voulez creuser, c’est la source de référence: l’avis de CloudLinux sur PHP2Shell.

Ce que vous devez faire

Si WHC gère votre hébergement, vous êtes protégé et vous n’avez rien à faire. Le correctif a déjà été appliqué.

Il y a toutefois quelques situations qui méritent votre attention.

Si vous gérez votre propre serveur, ou si notre équipe n’y a pas accès, nous ne pouvons pas appliquer le correctif pour vous. Nous vous recommandons donc de le faire dès que possible.

Vous trouverez les instructions sur le site officiel de PHP.

Vous préférez nous confier cette tâche? Aucun problème! Il suffit de contacter notre équipe et de nous donner accès à votre serveur. Nous pourrons nous en occuper pour vous.

Si vous avez un accès root et que vous voulez vérifier le correctif vous-même, rappelez-vous que le numéro de version ne vous dira pas grand-chose ici. Vérifiez plutôt le journal des modifications du paquet pour y repérer les identifiants des vulnérabilités. Sur PHP 8.4, par exemple:

rpm -q ea-php84-php-cli --changelog | grep -E 'CVE-2026-(109618|109619)'

Remplacez ea-php84 par le paquet qui correspond à votre version de PHP. Si les identifiants CVE apparaissent, le correctif est appliqué.

Et si votre site utilise une version beaucoup plus ancienne de PHP?

Si votre site n’a pas été mis à jour depuis des années et fonctionne encore avec une version beaucoup plus ancienne de PHP (pensez à PHP 7 ou plus ancien), il est possible que le correctif affecte certaines de ses fonctionnalités.

Rassurez-vous, la grande majorité des sites continuent de fonctionner normalement. Mais si vous remarquez quelque chose d’inhabituel, contactez-nous. Notre équipe est là pour vous aider.

On garde l’œil ouvert pour vous

Voilà, c’est tout! Pas besoin de suivre chaque détail technique ou de rafraîchir les sites d’actualité toute la journée. C’est notre travail.

Vous avez des questions? Vous ne savez pas si votre serveur est protégé ou si vous devez intervenir? Notre équipe est là pour vous aider.

Contactez-nous depuis votre Espace Client ou clavardez avec nous directement sur notre site web.