Opens in a new tab

Version de PHP sous WordPress : vérifier et mettre à jour

Ville Rontti·26.10.2026·0 comments

WordPress repose sur PHP, et la version de PHP détermine si votre site reçoit encore des correctifs de sécurité. En octobre 2026, deux vulnérabilités critiques ont été découvertes dans PHP, et seule une mise à jour de PHP permettait de les corriger. Mettre à jour WordPress ne servait à rien. Ce guide explique comment vérifier la version de PHP en quelques minutes, quelle version est sûre et comment faire la mise à jour sans casser votre site.

PHP2Shell : pourquoi la version de PHP compte maintenant

Le 21 octobre 2026, PHP a publié des correctifs pour deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619), connues sous le nom de PHP2Shell. Toutes deux ont une gravité de 9,2/10 (CVSS 4.0). Dans le pire des cas, un attaquant peut exécuter ses propres commandes sur le serveur sans se connecter. Avec Apache et mod_php, l’attaque peut se déclencher avant même que le code de WordPress ne s’exécute.

Les vulnérabilités concernent toutes les versions de chaque branche de PHP antérieures à la version corrigée : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP. Le 23 octobre, PHP a signalé une troisième vulnérabilité (CVE-2026-115560), dont l’exploitation exige une combinaison rare de réglages et de code applicatif. Elle sera corrigée dans la prochaine version régulière.

Selon le Centre national de cybersécurité de Finlande (NCSC-FI), aucune exploitation active n’était connue au 21 octobre, mais des exemples de code d’exploitation fonctionnels existaient déjà. La situation peut donc évoluer vite.

PHP publie des correctifs de sécurité plusieurs fois par an, mais seules les branches prises en charge les reçoivent. Chaque branche est corrigée pendant environ quatre ans, et les failles découvertes ensuite restent ouvertes. Il vaut donc mieux vérifier la version de PHP régulièrement, et pas seulement quand une vulnérabilité fait l’actualité.

Comment vérifier la version de PHP

Dans l’administration de WordPress

  1. Connectez-vous à WordPress en tant qu’administrateur.
  2. Dans le menu de gauche, choisissez Outils → Santé du site (dans WordPress en anglais : Tools → Site Health).
  3. Ouvrez l’onglet Informations (Info), puis la section Serveur (Server).
  4. La ligne Version de PHP affiche le numéro de version exact, par exemple 8.3.36.

Regardez le numéro complet. La branche (8.3) indique si la version est encore prise en charge, et le dernier nombre (36) si le dernier correctif est installé. Si la version est obsolète, WordPress affiche aussi l’avertissement Mise à jour de PHP nécessaire dans le tableau de bord. N’attendez pas cet avertissement pour autant : vérifiez le numéro vous-même.

Dans le panneau de contrôle de l’hébergeur

Chez la plupart des hébergeurs, le panneau de contrôle permet de voir et de changer la version de PHP. Dans cPanel, l’option s’appelle généralement MultiPHP Manager ou Select PHP Version. Dans Plesk, elle se trouve dans les paramètres PHP de chaque domaine. Si vous ne la trouvez pas, demandez à votre hébergeur quelle version de PHP utilise votre site et si le correctif d’octobre 2026 est installé.

Sur le serveur (pour les administrateurs)

Sur votre propre serveur, la commande php -v indique la version du PHP en ligne de commande. Ce n’est pas forcément le même PHP qui fait tourner le site, car le serveur web peut utiliser une autre version via PHP-FPM ou le module Apache. L’information la plus fiable se trouve dans la vue Santé du site de WordPress.

Les distributions Linux comme Debian, Ubuntu et Red Hat intègrent souvent les correctifs dans leurs propres paquets sans changer le numéro de version. Le numéro peut donc sembler ancien alors que le correctif est installé. Dans ce cas, vérifiez si le journal des modifications du paquet mentionne les identifiants CVE.

Quelle version de PHP est sûre ?

Une version sûre remplit deux conditions : sa branche reçoit encore des correctifs de sécurité, et le serveur dispose de la dernière version corrective de cette branche. En octobre 2026, la situation est la suivante :

Branche PHP Fin du support de sécurité PHP2Shell corrigé dans la version
8.5 31 décembre 2029 8.5.12
8.4 31 décembre 2028 8.4.27
8.3 31 décembre 2027 8.3.36
8.2 31 décembre 2026 8.2.35
8.1 et antérieures terminé (8.1 : 31 décembre 2025, 7.4 : 28 novembre 2022) aucune version officielle

WordPress recommande PHP 8.3 ou plus récent. Il fonctionne encore avec PHP 7.4, mais wordpress.org avertit qu’une version obsolète peut exposer le site à des problèmes de sécurité. Le support de PHP 8.2 s’arrête fin 2026 : si votre site l’utilise, planifiez dès maintenant le passage à 8.3 ou 8.4.

Pour les versions 7.4, 8.0 et 8.1, l’équipe de sécurité de PHP n’a publié le correctif PHP2Shell que sous forme de code source, pour ceux qui compilent PHP eux-mêmes. Certaines distributions Linux et certains hébergeurs créent leurs propres paquets corrigés pour les anciennes versions. La solution durable reste de passer à une version prise en charge.

Comment mettre à jour PHP

Chez un hébergeur

Les correctifs d’une même branche (par exemple 8.3.35 → 8.3.36) sont généralement installés par l’hébergeur. Le changement de branche (par exemple 8.1 → 8.3), c’est le plus souvent à vous de le faire dans le panneau de contrôle. Voici comment procéder :

  1. Faites une sauvegarde des fichiers et de la base de données. De nombreux hébergeurs le permettent depuis le panneau de contrôle.
  2. Mettez à jour WordPress, les thèmes et les extensions. Une extension ou un thème obsolète est une cause fréquente de panne lors d’une mise à jour de PHP.
  3. Testez d’abord sur une copie si votre hébergeur propose un environnement de test (staging).
  4. Changez la version de PHP dans le panneau de contrôle.
  5. Parcourez le site : page d’accueil, formulaires, paiement de la boutique en ligne et administration. Vérifiez dans Santé du site que la nouvelle version est active.

Si quelque chose ne fonctionne plus, revenez un moment à la version précédente, corrigez ou remplacez l’extension en cause, puis réessayez. Ne restez pas sur l’ancienne version.

Sur votre propre serveur

  • Installez les paquets PHP mis à jour de votre distribution (par exemple apt upgrade ou dnf upgrade) ou compilez la version corrigée.
  • Redémarrez PHP-FPM, Apache et les autres processus qui exécutent PHP, comme les tâches de fond. Le correctif ne prend effet qu’après.
  • Si le site tourne dans un conteneur, construisez une nouvelle image avec le PHP corrigé et déployez-la.
  • Pour finir, vérifiez la version dans Santé du site.

Si vous ne pouvez pas mettre à jour tout de suite

Selon PHP, la seule correction complète est la mise à jour. Si elle tarde, l’administrateur du serveur peut réduire le risque avec des réglages recommandés dans les avis de sécurité de PHP. Chez un hébergeur, c’est généralement lui qui décide de ces réglages.

  • session.upload_progress.enabled=0 bloque les méthodes d’attaque confirmées pour CVE-2026-109619 et CVE-2026-115560. PHP recommande de laisser cette fonction désactivée même après la mise à jour si vous n’en avez pas besoin.
  • Dans PHP 8.5, fatal_error_backtraces=0 supprime une deuxième méthode d’attaque confirmée.

Aucun de ces réglages ne protège contre CVE-2026-109618. Ils permettent de gagner du temps, mais ne remplacent pas la mise à jour.

Questions fréquentes

WordPress met-il à jour PHP automatiquement ?
Non. WordPress se met à jour lui-même, mais PHP est un logiciel du serveur, mis à jour par l’hébergeur ou l’administrateur du serveur. C’est pourquoi une mise à jour de WordPress ne corrige pas les vulnérabilités PHP2Shell.

Quelle version de PHP choisir pour WordPress ?
WordPress recommande PHP 8.3 ou plus récent. En octobre 2026, 8.3 et 8.4 sont de bons choix, à condition que le dernier correctif soit installé et que vos extensions prennent en charge la version.

Une mise à jour de PHP peut-elle casser mon site ?
Une version corrective de la même branche, comme 8.3.35 → 8.3.36, casse rarement quoi que ce soit. Un changement de branche peut casser une ancienne extension ou un ancien thème. Faites donc une sauvegarde et testez d’abord.

PHP 7.4 est-il encore sûr ?
Non. Son support de sécurité a pris fin le 28 novembre 2022. WordPress fonctionne encore avec 7.4, mais wordpress.org avertit qu’une version obsolète peut exposer le site à des problèmes de sécurité.

Comment savoir si mon hébergeur a installé le correctif PHP2Shell ?
Regardez le numéro complet de la version de PHP dans Santé du site et comparez-le au tableau ci-dessus. S’il est inférieur, demandez à votre hébergeur si le correctif est inclus dans ses paquets.

Si une mise à jour de PHP casse une extension ou si vous cherchez quelqu’un pour la maintenance de votre site, contactez-nous. Nous aidons à mettre à jour les applications WordPress et PHP.

Sources

Ville Rontti

Related posts