Le 21 octobre, une faille critique dans PHP était annoncée publiquement. Le même jour, tous les sites de nos clients tournaient déjà sur la version corrigée. Aucun incident, aucune donnée compromise, aucune intervention urgente à facturer. C’est exactement ce à quoi sert une maintenance proactive.
PHP : le moteur invisible de votre site web
PHP est le langage serveur qui fait fonctionner la grande majorité des sites web, WordPress en tête. Quand vous publiez un article, qu’un client remplit un formulaire ou qu’une commande est passée en ligne, PHP traite ces opérations côté serveur.
Une faille dans PHP, c’est une brèche dans ce moteur. Selon sa nature, elle peut permettre à un attaquant d’exécuter du code arbitraire sur votre serveur, d’accéder à des fichiers sensibles ou de prendre le contrôle d’une partie du site, et ce indépendamment du CMS utilisé. Si PHP est vulnérable, tout ce qui tourne dessus l’est potentiellement.
Il faut distinguer deux situations : la faille dite zero-day, inconnue du public et sans correctif disponible, et la faille publiée avec un correctif prêt à déployer. Le 21 octobre, nous étions dans le second cas, ce qui est à la fois rassurant et urgent : rassurant parce qu’une solution existe, urgent parce que les attaquants la connaissent désormais aussi.
Ce qui s’est passé le 21 octobre
Chaque vulnérabilité significative reçoit un identifiant CVE et est relayée sur php.net, les listes de diffusion de sécurité et la communauté open source. Dès la publication, l’information est publique pour tout le monde, y compris pour ceux qui cherchent à exploiter la faille.
La fenêtre de risque entre l’annonce et l’application du correctif est la période la plus dangereuse. Des bots automatisés parcourent le web en permanence et testent les serveurs exposés dans les heures qui suivent une divulgation. Attendre quelques jours, c’est souvent attendre trop longtemps.
Dès que l’annonce a été confirmée ce matin-là, nous avons déclenché la mise à jour PHP sur l’ensemble du parc client. Toutes les mises à jour ont été réalisées dans la journée. Résultat : zéro client touché.
Pourquoi PHP est souvent laissé de côté
Mettre à jour PHP fait peur, et c’est compréhensible. Un thème mal codé, un plugin ancien, et le site peut afficher une erreur fatale après la mise à jour. Cette crainte pousse beaucoup de propriétaires de sites à rester sur des versions obsolètes, parfois depuis des années.
Les conséquences sont pourtant lourdes : exposition aux failles connues et documentées, performances dégradées, et perte du support officiel de sécurité pour la version utilisée. Un site WordPress sur PHP 7.4, par exemple, ne reçoit plus aucun correctif depuis fin 2022. C’est une cible facile.
Notre rôle, c’est précisément de tester la compatibilité avant de mettre à jour, puis d’appliquer le correctif sans que vous ayez à vous en préoccuper.
Maintenance proactive ou réactive : la différence concrète
La maintenance réactive, c’est intervenir après qu’un problème est constaté. Un site piraté, des données volées, un formulaire de contact qui envoie du spam. On répare, mais le mal est fait.
La maintenance proactive, c’est surveiller en continu, appliquer les correctifs dès qu’ils sont disponibles et ne jamais laisser une faille connue sans réponse. C’est l’approche que nous pratiquons, et c’est ce qui a permis, le 21 octobre, d’agir avant que le problème n’arrive.
Pour une PME sans équipe informatique dédiée, gérer cette veille seule est illusoire. Le rythme des annonces de sécurité, la vérification de compatibilité, le déploiement sur plusieurs sites : c’est un travail à part entière.
Comment vérifier et protéger votre site
Quelques réflexes concrets si vous gérez votre site WordPress :
- Consultez Tableau de bord WordPress, puis Outils, puis Santé du site : la version PHP utilisée y est indiquée clairement.
- Comparez cette version avec les versions activement supportées sur php.net (support de sécurité en cours).
- Vérifiez que votre hébergeur propose des mises à jour PHP et qu’il les applique rapidement en cas de faille.
- Assurez-vous que des sauvegardes régulières sont en place : elles constituent le filet de sécurité si une mise à jour tourne mal ou si une attaque aboutit malgré tout.
Si vous n’avez personne pour assurer ce suivi, un contrat de maintenance web couvrant la surveillance des vulnérabilités et les mises à jour rapides est la solution la plus sûre. Nous intervenons auprès des entreprises du Chablais valaisan et vaudois, à Monthey, Saint-Maurice, Bex, Aigle et dans le Valais central.
Parlons de votre site
Vous ne savez pas sur quelle version de PHP tourne votre site, ou vous doutez que votre prestataire actuel applique les correctifs à temps ? Contactez-nous : nous faisons un point rapide et sans engagement sur votre situation.
Questions fréquentes
Comment savoir si mon site WordPress tourne sur une version PHP à jour ?
Allez dans votre tableau de bord WordPress, puis Outils, puis Santé du site. La version PHP active y est affichée. Comparez-la avec les versions encore supportées officiellement sur php.net. Si votre version n'est plus dans la liste, il est temps d'agir.
Combien de temps faut-il pour qu'une faille PHP annoncée soit exploitée ?
Les premières tentatives d'exploitation automatisée peuvent démarrer dans les heures qui suivent une annonce publique. Des bots scannent en permanence les serveurs accessibles sur le web. La réactivité n'est pas un confort, c'est une nécessité.
Mettre à jour PHP ne risque-t-il pas de casser mon site ?
C'est le risque principal, et c'est pour cela que nous testons la compatibilité avant tout déploiement. Un thème ou un plugin ancien peut ne pas supporter une version PHP récente. Notre rôle est d'identifier ces incompatibilités et de les corriger avant la mise à jour, pas après.
Qu'est-ce qu'un contrat de maintenance WordPress couvre réellement en matière de sécurité ?
Chez nous, cela inclut la veille sur les vulnérabilités annoncées, les mises à jour de PHP, du cœur WordPress, des thèmes et des plugins, ainsi que des sauvegardes régulières. L'objectif est que vous n'ayez pas à surveiller tout cela vous-même, et que les correctifs soient appliqués avant qu'un incident ne survienne.
