Faille PHP WordPress : faut-il migrer son site internet ?

Deux failles critiques dans PHP ont secoué le web en octobre 2026. C’est le bon moment pour se poser des questions sur WordPress.

Le 21 octobre 2026, l’équipe de PHP a publié en urgence des correctifs pour deux failles critiques.

Ces failles permettent à un pirate d’exécuter du code sur le serveur d’un site, sans même avoir besoin de s’identifier. Elles sont notées 9,2 sur 10 en gravité.

Par précaution, de nombreux sites à travers le monde ont été coupés le temps d’installer le correctif.

Et il ne s’agissait pas de petits sites.

Aux Pays-Bas, des services publics comme DigiD ou MijnOverheid sont restés inaccessibles une partie de la journée. En Belgique, ce sont des sites d’hôpitaux et de l’administration flamande qui ont été coupés. En France, des sites du service public, des médias (ex : Les Echos), etc …

Depuis, le CERT-FR, le centre gouvernemental français de veille en sécurité informatique, a constaté des tentatives d’exploitation de ces failles.

Que faire ?

C’est en tout cas le bon moment pour se poser des questions.

PHP fait tourner 7 sites sur 10

PHP est un langage de programmation. D’après W3Techs, il est utilisé par 69 % des sites dont on connaît la technologie.

C’est notamment le cas de WordPress, qui fait tourner près de 40 % des sites internet dans le monde. C’est, de loin, le CMS le plus répandu.

++Point important++ : la faille ne se trouve pas dans WordPress, mais dans PHP, sur le serveur. Mettre à jour WordPress ou ses extensions ne suffit donc pas. C’est à votre hébergeur ou à votre prestataire de mettre à jour PHP.

Et si votre site tourne encore sur une ancienne version de PHP (8.1 ou antérieure), il n’y a pas de correctif officiel : ces versions ne sont plus suivies par l’équipe de PHP. Il faut passer à une version récente, au risque de casser un vieux thème ou une vieille extension.

Mon site WordPress est-il concerné ?

Si vous avez un site WordPress, posez ces deux questions à votre hébergeur ou à votre prestataire :

  • Quelle version de PHP fait tourner mon site ?
  • Le correctif du 21 octobre est-il bien installé ?

WordPress a des avantages, mais ils ne suffisent plus

Certes, WordPress apporte de nombreux avantages : il est gratuit, il propose des milliers de thèmes et d’extensions, et beaucoup de prestataires savent l’utiliser.

Mais ces avantages ne suffisent plus, notamment pour un site vitrine.

Chaque extension, chaque thème et chaque version de PHP est une porte d’entrée possible à un piratage. Il faut surveiller son site et le mettre à jour en permanence, pour un site qui, la plupart du temps, ne change presque jamais.

Des alternatives à WordPress existent

Plusieurs alternatives existent. Elles apportent, elles aussi, de nombreux avantages :

  • la rapidité : les pages sont préparées à l’avance et s’affichent presque instantanément
  • la sécurité : un site statique ne fait tourner aucun PHP sur son serveur. Aux Pays-Bas, le site du gouvernement, Rijksoverheid.nl, n’utilise pas PHP : il n’a pas été touché
  • un design attrayant : le site est créé sur mesure, et non à partir d’un thème générique ;
  • une meilleure prise en main : publier un article devient aussi simple que d’écrire dans un traitement de texte.

C’est le cas du site que vous lisez. Je vous explique comment je l’ai construit dans mon article sur les sites internet rapides pour le SEO.

Faut-il quitter WordPress ?

Pour un site vitrine, ou un site e-commerce avec peu de produits, sortir de WordPress me semble la solution la plus adaptée.

Vous voulez discuter de votre projet (création, refonte ou migration de site) ? Écrivez-moi. À très vite !

Sources