L’essentiel
- Le projet PHP a publié une mise à jour de sécurité qui corrige deux failles qualifiées de critiques.
- WordPress.org a relayé l’alerte le 21 octobre 2026 : aucune mise à jour de WordPress n’est requise ni prévue.
- C’est la version de PHP installée sur le serveur qu’il faut contrôler, puis mettre à jour si besoin.
- Les versions antérieures à PHP 8.2 ne reçoivent plus de correctifs de sécurité du projet PHP.
Pourquoi aucune mise à jour WordPress n’est prévue
Une faille du langage, pas du CMS
Le 21 octobre 2026, John Blackbourn a publié sur le blog officiel de WordPress un avis consacré à une mise à jour de sécurité de PHP. Le projet PHP vient de corriger deux vulnérabilités qu’il qualifie de critiques. Le billet renvoie vers les archives de PHP pour le détail technique et ne donne ni numéro de version corrigée ni identifiant CVE. Ce qu’il dit en revanche est net : ces failles ne sont pas propres à WordPress. Elles touchent n’importe quel serveur qui héberge une application PHP, que ce soit un autre CMS, une boutique en ligne ou un site développé sur mesure. Pour cette raison, l’équipe écrit qu’aucune mise à jour de WordPress n’est requise ni prévue. Le correctif se trouve du côté du serveur.
Ce que peut déjà avoir fait l’hébergeur
Le billet ajoute que des hébergeurs ont peut-être déjà commencé à mettre PHP à jour, ou à poser des règles de pare-feu applicatif (WAF). Il ne faut pourtant pas s’en tenir là. Le texte invite les propriétaires de sites à vérifier auprès de leur hébergeur ce qui a été fait, puis à mettre PHP à jour dès que possible si ce n’est pas le cas. La question à poser au support est précise : quelle version de PHP tourne sur mon site, et est-elle corrigée ?
Vérifier sa version de PHP aujourd’hui
Dans l’administration de WordPress, la version de PHP s’affiche sous Tools, Site Health, Info, Server (Outils, Santé du site, Info, Serveur dans l’interface en français). Beaucoup d’hébergeurs la montrent aussi dans leur espace client. Relevez le numéro, puis comparez-le à celui que le projet PHP indique comme corrigé dans ses archives, puisque WordPress.org ne le cite pas. Avant de passer à une version plus récente, le billet renvoie vers la page du manuel consacrée à la compatibilité entre PHP et les versions de WordPress. Un thème ou une extension ancienne peut mal supporter le changement : faites une sauvegarde, puis testez. Côté WordPress lui-même, la dernière maintenance de sécurité est détaillée dans notre article sur les sept failles corrigées par WordPress 7.1.3. Si le site a déjà été piraté, le billet renvoie vers la FAQ « My site was hacked ».
Que faire si PHP est antérieur à la version 8.2
Le billet est direct sur ce point : le projet PHP ne publie plus de correctifs de sécurité pour les versions antérieures à PHP 8.2. Un site qui tourne sur l’une d’elles ne recevra donc pas la correction de ces deux failles. Pour ceux qui gèrent eux-mêmes leur serveur, WordPress.org va plus loin et suggère d’envisager de mettre le serveur hors ligne le temps de préparer la migration. Il s’appuie sur plusieurs agences nationales de cybersécurité et cite la formule du centre britannique NCSC : lorsqu’une correction immédiate est impossible, les organisations devraient envisager de mettre le système hors ligne. Le conseil est lourd. Connaître sa version avant de décider est donc le premier geste. Sur un hébergement géré, la démarche est différente : demandez à l’hébergeur si une version supportée figure dans l’offre, et à quelle date elle sera activée sur votre site.
Sources : WordPress.org News