Votre site utilise PHP : vérifiez sa version et suivez ces étapes avant de le laisser accessible
Si votre site PHP ne peut pas recevoir immédiatement les correctifs, la recommandation est de le mettre hors ligne. Voici comment vérifier sa version, coordonner l’intervention avec votre hébergeur et éviter de confondre protection provisoire et correction.
L'essentiel
- Identifiez la version PHP réellement utilisée par chacun de vos sites.
- Demandez à votre hébergeur sa consigne et l’état du déploiement des correctifs.
- Installez la correction disponible sans vous arrêter aux protections temporaires.
- Sans mise à jour immédiate possible, mettez le site affecté hors ligne.
1. Relevez la version PHP utilisée par votre site
Commencez par une vérification ciblée : quelle version PHP fait fonctionner votre site ? Consultez les informations de votre hébergement ou demandez-les au prestataire qui s’en occupe. Si vous gérez plusieurs sites, faites ce relevé pour chacun. Ne déduisez pas que tous sont corrigés parce qu’un seul affiche une version à jour.
Les versions corrigées citées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Utilisez ces numéros comme repères pour interroger votre hébergeur, plutôt qu’une indication vague comme « PHP 8 ». Les correctifs sont disponibles depuis le 21 octobre 2026 : l’enjeu est donc de vérifier leur installation sur votre hébergement, pas seulement leur publication.
2. Faites préciser la consigne de votre hébergeur
Contactez votre hébergeur avec une demande précise : votre site est-il concerné, quelle correction a été appliquée et devez-vous intervenir ? S’il demande une mise hors ligne ou une opération de votre part, suivez cette consigne. Pour un site confié à un prestataire, transmettez-lui aussi la demande afin de savoir qui prend en charge la mise à jour.
Distinguez bien deux réponses possibles : une mesure de protection temporaire et l’installation du correctif. Des protections provisoires ont notamment été déployées chez OVHcloud, SiteGround et Cloudflare. Elles ne constituent pas, à elles seules, une confirmation que PHP a été corrigé. Demandez explicitement si la mise à jour est effective pour votre site, même si une protection a déjà été annoncée.
3. Appliquez le correctif dès qu’il est accessible
Si la version corrigée est proposée pour votre hébergement, faites appliquer la mise à jour sans attendre. Si vous administrez vous-même le serveur, prenez en charge cette opération ; sinon, demandez sa réalisation à votre hébergeur ou à votre prestataire. Après l’intervention, faites confirmer la version effectivement utilisée. Une annonce de déploiement ne remplace pas cette vérification pour votre propre installation.
Votre site repose encore sur PHP 8.1 ou une branche antérieure ? Signalez-le expressément : ces installations ne bénéficient plus des mises à jour régulières du projet. Des correctifs minimaux sous forme de code source existent pour les branches 8.1, 8.0 et 7.4. Leur existence ne permet toutefois pas de considérer votre site comme protégé : faites préciser la solution effectivement appliquée par la personne qui gère le serveur.
4. Coupez l’accès si la correction ne peut pas être immédiate
Si le correctif ne peut pas être installé immédiatement, mettez le site affecté hors ligne, en coordination avec votre hébergeur. C’est la recommandation de CERT-EU aux organisations qui ne peuvent pas appliquer les corrections. Ne laissez pas l’absence de problème visible décider à votre place : des tentatives d’exploitation ont déjà été observées, notamment par Cloudflare.
Les deux failles peuvent permettre l’exécution de code à distance, sans authentification, sur un serveur vulnérable. Attendre une page défigurée avant d’agir serait donc un mauvais repère. Pendant l’interruption, obtenez la confirmation du correctif et de son application avant de décider de rouvrir. Poursuivez aussi la surveillance des applications, recommandée par les agences américaine NSA et australienne ACSC.
