Le site internet de votre établissement mérite lui aussi un réflexe de sécurité. Deux vulnérabilités critiques de PHP ont fait l’objet d’une alerte en octobre 2026. Dans la plupart des cas, votre hébergeur ou votre prestataire prend en charge les corrections : votre rôle est de vérifier qu’elles ont bien été appliquées et de relancer votre interlocuteur si nécessaire.
Pas d’inquiétude, mais pas d’oubli : prenez contact avec votre hébergeur pour confirmer la mise à jour de votre site.
La fiche pratique à garder sous la main
Une page pour passer à l’action. Téléchargez la fiche d’octobre 2026 : elle rassemble les versions corrigées à cette date, les vérifications à effectuer et les réflexes à adopter en cas de doute.
Pourquoi les établissements sont-ils concernés ?
PHP est un langage utilisé par de nombreux sites et applications, notamment WordPress, Joomla, Drupal, PrestaShop et Moodle. Les autres applications PHP présentes sur un même serveur sont également à prendre en compte. Sur un serveur vulnérable, les failles peuvent compromettre le site et les données qu’il héberge, comme celles des familles, des élèves ou des comptes utilisateurs.
L’alerte du CERT-FR, publiée le 21 octobre 2026, concerne notamment les vulnérabilités CVE-2026-109618 et CVE-2026-109619. Le projet PHP a publié des correctifs le même jour.
Votre site est hébergé chez un prestataire : trois étapes
| Étape | Le bon réflexe |
|---|---|
| 1. Repérer la version de PHP | Dans WordPress : Outils › Santé du site › Infos › Serveur. Sinon, consultez l’interface de votre hébergeur, dans les rubriques Hébergement, Configuration ou PHP. |
| 2. Faire confirmer les correctifs | Comparez les repères ci-dessous et demandez à votre prestataire de confirmer que votre installation dispose des mises à jour adaptées. Avant un changement de version, prévoyez une sauvegarde complète et vérifiez la compatibilité du site. |
| 3. Obtenir un retour de l’hébergeur | Demandez si PHP a été mis à jour, à quelle date et si une activité suspecte a été détectée. Si la correction reste à faire, demandez le calendrier prévu et les protections temporaires mises en place. |
Les versions corrigées annoncées le 21 octobre
| Branche PHP | Première version corrigeant les deux failles signalées |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Ces versions sont des repères pour les deux failles d’octobre, pas une garantie générale de sécurité. D’autres avis ont été publiés depuis la fiche, notamment pour certaines configurations et les paquets Windows. Demandez à votre hébergeur une confirmation portant sur les derniers correctifs applicables à votre installation, en consultant les annonces officielles de PHP.
Vous hébergez vous-même votre site ?
Si le serveur se trouve dans vos locaux ou est administré par votre équipe, la mise à jour relève de votre responsable technique. La fiche présente la démarche suivante :
- Isoler le serveur vulnérable, voire le mettre hors ligne.
- Mettre à jour PHP vers une version maintenue et corrigée.
- Vérifier le bon fonctionnement avant la remise en ligne.
Pour une ancienne version de PHP, faites définir avec votre prestataire le parcours de migration et les vérifications de compatibilité nécessaires.
Un doute sur une intrusion : préserver les éléments utiles
La fiche invite à surveiller plusieurs signes :
- Des pages modifiées ou inconnues.
- Des comptes administrateurs que vous n’avez pas créés.
- Des lenteurs inhabituelles ou une alerte de l’hébergeur ou d’un visiteur.
En cas de suspicion, faites isoler ou mettre hors ligne le site et ne supprimez rien. Contactez votre prestataire et consultez Cybermalveillance.gouv.fr pour être orienté dans vos démarches.
Votre interlocuteur reste à vos côtés
Pour toute question, rapprochez-vous de votre UDOGEC ou UROGEC, qui pourra faire le lien avec la Fnogec si nécessaire. Conservez la réponse de votre hébergeur et partagez la fiche pratique avec la personne qui suit le site de votre établissement.
Louis GUYOT
Équipe FEDOLOR