Le mercredi 21 octobre 2026, une bonne partie du web a passé la journée à corriger une faille. Deux vulnérabilités critiques ont été découvertes dans PHP, le langage qui fait tourner WordPress et une grande partie des sites du monde. Par précaution, des gouvernements ont débranché certains de leurs sites, y compris au Canada.
Si votre site est sur WordPress, vous étiez concerné. S’il est sur Framer, vous n’aviez rien à faire. Voici pourquoi, en termes simples, et ce que vous devez vérifier si votre site tourne encore sur WordPress.
En bref : la faille se trouve dans PHP lui-même, pas dans WordPress. Tous les sites qui exécutent PHP sur leur serveur devaient être mis à jour, et ce correctif dépend de votre hébergeur. Les sites Framer ne passent pas par PHP : Framer a confirmé le jour même qu’ils n’étaient pas touchés.
Ce qui s’est passé
Le 20 octobre au soir, l’équipe de PHP a prévenu qu’une mise à jour de sécurité urgente sortirait le lendemain. Le 21 octobre, elle a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, qui corrigent deux failles notées 9,2 sur 10 (CVE-2026-109618 et CVE-2026-109619). Surnommées « PHP2Shell », elles permettent à un pirate d’exécuter son propre code sur un serveur, sans avoir besoin de mot de passe.
L’ampleur vient du fait que PHP est partout. Selon les chercheurs de Wiz, toutes les versions de PHP sorties ces dix dernières années sont touchées par au moins une des deux failles.
Le Centre canadien pour la cybersécurité a publié une alerte le jour même. Le gouvernement fédéral a mis certains de ses sites hors ligne par précaution, tout comme Terre-Neuve-et-Labrador. En Europe, des ministères et des administrations ont fait de même en attendant le correctif. Des hébergeurs ont signalé les premières tentatives d’attaque dès le 21 octobre.
Pourquoi WordPress était en première ligne
WordPress est écrit en PHP. Chaque fois qu’un visiteur ouvre une page, le serveur exécute du code PHP pour la fabriquer. Avec environ 4 sites sur 10 dans le monde selon W3Techs, WordPress était la cible la plus large.
Le plus déroutant pour les propriétaires de sites : mettre WordPress à jour ne servait à rien. La faille est dans PHP, sous WordPress. Le correctif devait venir de celui qui gère le serveur, c’est-à-dire votre hébergeur dans la plupart des cas. Un site WordPress parfaitement à jour pouvait donc rester exposé.
Autre difficulté : les vieilles versions. PHP 8.1 et les versions précédentes ne reçoivent plus de correctifs officiels, et selon W3Techs, plus d’un tiers des sites en PHP tournent encore sur PHP 7 ou PHP 5. Pour eux, il faut un correctif adapté par l’hébergeur, ou une migration vers une version suivie.
Pourquoi les sites Framer n’avaient rien à faire
Le jour même, Framer a annoncé que Framer et les sites hébergés chez lui n’étaient pas touchés par cette faille, et qu’aucune action n’était nécessaire.
La raison est simple : un site Framer n’exécute pas de PHP. Vous concevez vos pages dans l’éditeur, Framer les prépare à la publication et les sert à vos visiteurs depuis son propre hébergement. Il n’y a pas de serveur PHP sous votre site, donc rien à corriger quand une faille comme celle-ci apparaît.
Ça ne rend pas un site Framer invulnérable. La sécurité repose alors sur la plateforme de Framer et sur votre compte, qui doit rester protégé par un mot de passe solide. Mais toute une catégorie de risques disparaît : pas d’extension à mettre à jour, pas de version de PHP à surveiller, pas d’hébergeur à relancer un soir de crise.
Votre site est sur WordPress ? Quatre vérifications à faire cette semaine
Connaître votre version de PHP. Dans votre tableau de bord WordPress, ouvrez Outils, puis Santé du site, onglet Infos, section Serveur.
Demander à votre hébergeur s’il a appliqué le correctif. Les versions sûres sont 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récentes. Sur les anciennes versions, certains hébergeurs appliquent un correctif adapté sans changer le numéro : posez-leur la question par écrit.
Prévoir une mise à niveau si vous êtes en PHP 8.1 ou avant. Ces versions n’ont plus de correctif officiel. C’est le moment de passer à une version suivie, en testant vos extensions avant.
Surveiller les signes d’intrusion. Un compte administrateur que vous ne connaissez pas, des redirections bizarres, des fichiers inconnus ou des erreurs 500 à répétition doivent vous alerter. Dans le doute, changez vos mots de passe et ceux de votre hébergement.
Si vous ne savez pas qui gère le PHP de votre site, c’est la première chose à découvrir : le jour où une faille de ce genre sort, c’est cette personne qui doit agir.
Faut-il quitter WordPress pour autant ?
Pas forcément. WordPress reste un bon choix pour une grosse boutique, un espace membre complexe ou un site avec des centaines d’articles, à condition d’avoir quelqu’un qui s’occupe des mises à jour et du serveur.
Pour un site de services, celui d’un coach, d’un thérapeute ou d’un consultant, la question est différente : avez-vous envie de gérer un serveur ? Si la réponse est non, Framer vous enlève ce travail. J’en parle plus en détail dans mon comparatif Framer ou WordPress.
Vous pensez passer à Framer ? Commencez par voir à quoi ressemblerait votre site : demandez votre maquette offerte.
Sources
[ Un projet en tête ? ]
Voyez votre futur site.
Répondez à quelques questions : si votre projet est retenu, vous recevez la maquette de votre page d’accueil sous 3 jours ouvrables. Sans engagement.
