Actualité · octobre 2026
En bref : vous n’avez rien à faire. Fin septembre 2026, l’équipe PHP a publié des mises à jour de sécurité pour toutes les versions de PHP prises en charge. Nous avons mis à jour les versions de PHP de nos serveurs vers les versions corrigées : votre site web, votre boutique en ligne et vos e-mails fonctionnent donc sur des logiciels sécurisés. Dans cet article, vous découvrirez de quelles failles il s’agit, ce que nous avons fait et ce que vous pouvez encore vérifier vous-même.
Que s’est-il passé ?
PHP est le langage de programmation sur lequel reposent notamment WordPress, WooCommerce et la plupart des autres sites web. Le 24 septembre 2026, PHP 8.5.11, 8.4.26, 8.3.35 et 8.2.34 sont parus. Ce sont toutes les quatre des versions de sécurité : l’équipe PHP recommande à tous de mettre à jour le plus rapidement possible.
Les principales failles corrigées :
| Faille | Composant | Quel était le risque ? |
|---|---|---|
| CVE-2026-91765 | Extension SOAP (gravité : élevée, CVSS 7,5) | Un attaquant pouvait faire planter un point d’accès SOAP public sans se connecter, à l’aide d’un message XML spécialement conçu. |
| CVE-2026-91768 | PHP-FPM | Le contrôle d’accès (listen.allowed_clients) pouvait être contourné via des connexions IPv6. |
| CVE-2026-91766 | Flux HTTP | Lors d’une redirection vers un autre serveur, des identifiants comme les en-têtes Authorization et Cookie pouvaient être transmis. |
| CVE-2026-91769 | Flux OpenSSL | La vérification d’un certificat serveur pouvait se rabattre à tort sur le Common Name. |
Ces versions corrigent aussi des erreurs de mémoire, notamment dans l’extension Phar et dans mysqlnd.
Plus tôt cette année, le 30 juillet 2026, une autre série de correctifs était déjà parue (PHP 8.5.9, 8.4.24, 8.3.33 et 8.2.33). Elle corrigeait entre autres une injection SQL dans l’extension PostgreSQL (CVE-2026-17543) et une erreur de mémoire dans bccomp() (CVE-2026-17544). Ces mises à jour ont elles aussi été appliquées sur nos serveurs.
Qu’avons-nous fait ?
- Toutes les versions de PHP prises en charge sur nos serveurs ont été mises à jour vers les versions corrigées. Les mises à jour sont actives sur tous nos serveurs.
- Nos couches de sécurité habituelles restent actives, comme le pare-feu et l’analyse antimalware Imunify360 ainsi que notre protection DDoS.
- Nous suivons les nouveaux avis de sécurité et installons les mises à jour dès leur parution.
Qu’est-ce que cela signifie pour votre site ?
Votre site utilise-t-il une version de PHP prise en charge (8.2 ou plus récente) ? Il fonctionne alors déjà sur la version sécurisée. Vous n’avez aucun réglage à modifier ni rien à téléverser de nouveau.
Attention aux anciennes versions de PHP. PHP 7.4, 8.0 et 8.1 ne reçoivent plus de mises à jour de sécurité de l’équipe PHP. Si votre site fonctionne encore sur l’une d’elles, passez à une version plus récente. La prise en charge de PHP 8.2 se termine également le 31 décembre 2026 : nous vous conseillons donc de choisir dès maintenant PHP 8.3 ou 8.4.
Que pouvez-vous faire vous-même ?
- Vérifiez votre version de PHP. Connectez-vous à Plesk, allez dans Sites Web & Domaines et cliquez sur PHP (ou Paramètres PHP) pour votre domaine. Vous y verrez la version sélectionnée.
- Choisissez une version à jour. Vous voyez 7.4, 8.0, 8.1 ou 8.2 ? Faites d’abord une sauvegarde, sélectionnez ensuite PHP 8.3 ou 8.4 et cliquez sur OK. Vérifiez ensuite que votre site fonctionne correctement.
- Mettez à jour WordPress, vos thèmes et vos extensions. Une version de PHP sécurisée est la plus efficace lorsque les logiciels qui l’utilisent sont eux aussi à jour.
- Vous développez avec SOAP ou des intégrations d’API externes ? Vérifiez alors que votre code n’envoie pas d’identifiants à d’autres serveurs et que les certificats sont vérifiés de manière stricte.
Vous trouverez d’autres guides pas à pas dans nos articles sur Plesk, WordPress et la sécurité.
Besoin d’aide ?
Vous ne savez pas quelle version de PHP utilise votre site, ou vous souhaitez que nous y jetions un œil ? Contactez-nous par WhatsApp, ticket ou e-mail. Notre support est réellement disponible 24h/24 et 7j/7, y compris la nuit.
Pas encore client ? Notre hébergement web et notre hébergement WordPress fonctionnent toujours sur des logiciels à jour et sécurisés. Changer d’hébergeur est gratuit : nous migrons votre site et vos e-mails sans interruption.