Faille PHP du 21 octobre 2026 : tous les sites WordPress de nos clients sont à jour

Tous les sites WordPress de nos clients sont à jour : la faille critique de PHP corrigée le 21 octobre 2026 ne les touche plus. Notre équipe a vécu une journée intense pour y arriver. Dès l'avant-midi, nous avons vérifié chaque site, puis mis à jour ceux qui en avaient besoin. Tout était terminé le soir même. Si nous gérons votre site, vous n'avez rien à faire.

Ce qui s'est passé

PHP est le langage de programmation de WordPress et d'une grande partie du Web. Le 20 octobre, ses responsables ont annoncé une mise à jour de sécurité pour le lendemain. Elle a été publiée le 21 octobre à 10 h (heure de Montréal).

Elle corrige deux failles (CVE-2026-109618 et CVE-2026-109619), notées 9,2 sur 10 pour leur gravité. Selon l'avis de PHP, elles peuvent permettre à un pirate d'exécuter du code sur le serveur sans avoir de compte, avant même que le site ne s'affiche. L'avis est clair : aucune mesure temporaire ne remplace la mise à jour.

Pourquoi WordPress était concerné

La faille se trouve dans PHP, pas dans WordPress. Aucune mise à jour de WordPress ni d'extension ne la corrige : le correctif s'installe sur le serveur. Il existe pour PHP 8.2, 8.3, 8.4 et 8.5. Les versions 8.1 et plus anciennes ne reçoivent plus de mises à jour de PHP. Un site devait donc utiliser PHP 8.2 ou plus pour recevoir le correctif normalement.

Ce que nous avons fait le 21 octobre

Nous nous sommes mis au travail le 21 octobre en avant-midi, dès que nous avons été informés. Les sites que nous gérons étaient tous sur une version de PHP prise en charge par leur hébergeur. Nous avons vérifié chacun d'eux, puis fait passer à PHP 8.4 ceux qui en avaient besoin pour recevoir le correctif. Toutes les mises à jour étaient terminées le soir même.

Ce genre de journée ne se planifie pas. Une faille de cette gravité se règle le jour où elle est annoncée : c'est une bonne partie de ce que fait notre service webmestre.

Ce que vous avez à faire

Si Falia gère votre site, vous n'avez rien à faire : il est à jour et protégé contre ces deux failles. Si votre site est entretenu par quelqu'un d'autre, demandez-lui quelle version de PHP il utilise. Une version plus ancienne que 8.2, ou une version 8.2 à 8.5 qui n'a pas reçu la mise à jour du 21 octobre, mérite une intervention rapide.

PHP 8.2 cesse de recevoir des correctifs de sécurité le 31 décembre 2026. Un site qui utilise encore cette version gagne à passer à une version plus récente d'ici là.

Ce que nous observons depuis quelques mois

La faille du 21 octobre n'est pas un cas isolé. Avec les avancées de l'IA, nous observons beaucoup plus de failles de sécurité à corriger sur les sites WordPress. En deux mois, de la fin août à la mi-octobre 2026, le temps que notre agence consacre aux mises à jour et à la sécurité de WordPress a presque doublé : +96 % par rapport aux deux mois précédents.

Sur un site WordPress, chaque faille annoncée demande une vérification, souvent le jour même. C'est l'une des raisons pour lesquelles nous proposons une autre voie à nos clients.

Pourquoi nous migrons des sites WordPress vers Astro

Nous avons commencé à migrer des sites WordPress de nos clients vers Astro, le framework sur lequel notre propre site est construit. De grandes marques l'utilisent pour leur site : Porsche, Michelin, Cloudflare et Proton. Nos clients y gagnent en sécurité, en agilité et en vitesse d'exécution. Côté sécurité, un site Astro n'utilise ni PHP ni base de données : la faille du 21 octobre ne pouvait pas le toucher. Un pirate y trouve aussi beaucoup moins de portes d'entrée. Côté vitesse, l'écart est net : en septembre 2026, 71 % des sites Astro offraient une bonne expérience sur mobile selon les Core Web Vitals de Google (les mesures de vitesse et de stabilité des pages), contre 48 % des sites WordPress.

L'IA a rendu cette approche accessible. Un site en code demandait autrefois un développeur pour chaque changement. Avec un site web géré avec l'IA, votre site se modifie à 100 % en langage naturel : vous décrivez le changement et l'IA le fait. Ces projets restent abordables pour une PME.

Si vous aimeriez savoir ce que coûterait le passage de votre site WordPress à Astro, écrivez à Gabriel à ggervais@falia.co pour obtenir une soumission.