Personne ne souscrit une assurance habitation en espérant un dégât des eaux. On la paie chaque année, on n’y pense pas, et on est bien content de l’avoir le jour où le plafond goutte. La maintenance d’un site internet fonctionne exactement de la même façon : quand elle fait bien son travail, on ne la voit pas.
Cette semaine en a donné un très bon exemple. Deux failles de sécurité critiques ont été découvertes dans PHP, le langage qui fait tourner une grande partie des sites du web, dont la quasi-totalité des sites WordPress. Pour nos clients, il ne s’est rien passé. Et c’est justement tout l’intérêt.
Ce qui s’est passé le 21/10/2026
Le 20/10/2026, l’équipe de PHP a fait une annonce inhabituelle : une mise à jour de sécurité urgente serait publiée le lendemain à 16h00, pour corriger deux vulnérabilités jugées critiques. Des informations avaient déjà fuité sur un forum avant l’annonce officielle, ce qui a rendu la situation encore plus tendue. IT-Connect a suivi l’affaire heure par heure.
Ces deux failles, référencées CVE-2026-109618 et CVE-2026-109619, ont reçu une note de gravité de 9,2 sur 10. Concrètement, elles permettaient à un pirate d’exécuter son propre code sur le serveur qui héberge un site, sans compte ni mot de passe. Une simple requête bien préparée, comme l’envoi d’un formulaire, pouvait suffire. Autrement dit : prendre le contrôle du site, de ses données et parfois du serveur entier.
Le problème ne venait ni de WordPress, ni d’une extension mal codée, ni d’un mot de passe trop faible. Il se trouvait au cœur même de PHP. Un site parfaitement entretenu par ailleurs était donc exposé, au même titre que les autres.
Les correctifs sont sortis comme prévu. Et, sans surprise, les premières tentatives d’attaque ont suivi presque aussitôt : dès qu’une faille est rendue publique, des robots se mettent à scanner le web à la recherche des serveurs qui n’ont pas encore été mis à jour.
Ce que nous avons fait pour nos clients
Pour les sites que nous hébergeons et maintenons, la journée s’est déroulée sans drame :
- nous avons vérifié la version de PHP utilisée par chaque site, une par une ;
- nous avons confirmé avec notre hébergeur le déploiement des versions corrigées ;
- nous avons contrôlé que chaque site fonctionnait normalement après la mise à jour.
Nos clients n’ont rien eu à faire. La plupart ne savaient même pas qu’une faille avait existé. C’est exactement ce que doit être une maintenance réussie : un non-événement.
Le paradoxe de la maintenance : plus elle marche, moins on la voit
C’est là que le bât blesse. Quand tout va bien, on ne voit pas ce que la maintenance a évité. Pas de site en panne, pas de page piratée, pas de message d’alerte de Google. Alors on finit par se demander à quoi elle sert, et la tentation de s’en passer devient forte.
C’est le même raisonnement que de résilier son assurance parce qu’on n’a pas eu de sinistre depuis cinq ans. Ça tient, jusqu’au jour où ça ne tient plus. Et ce jour-là, il est trop tard pour souscrire.
Un site internet n’est jamais « fini ». Il repose sur un empilement de briques qui évoluent en permanence : le serveur, PHP, WordPress, le thème, les extensions. Chacune reçoit régulièrement des correctifs, et chacune peut, un jour, présenter une faille. Un site qu’on ne met plus à jour ne reste pas figé : il vieillit, et il devient de plus en plus vulnérable.
Sans même parler de faille, les attaques sont permanentes
Une faille comme celle de PHP fait parler d’elle parce qu’elle est spectaculaire. Mais elle ne doit pas faire oublier l’essentiel : au quotidien, les sites sont attaqués en continu, et ces attaques sont de plus en plus fréquentes et de plus en plus violentes.
La plupart ne visent personne en particulier. Ce sont des robots qui passent le web au peigne fin, jour et nuit, à la recherche d’une porte entrouverte :
- des tentatives de connexion à répétition sur la page d’administration, avec des milliers de combinaisons d’identifiants et de mots de passe ;
- l’exploitation d’extensions vulnérables, parfois quelques heures seulement après la publication d’un correctif ;
- des injections de code malveillant pour rediriger vos visiteurs vers des sites douteux ou leur afficher de la publicité ;
- l’utilisation de votre site pour envoyer du spam, ce qui peut faire bloquer votre propre messagerie ;
- des attaques par saturation, qui ralentissent le site ou le rendent inaccessible.
Vous pensez que votre site n’intéresse personne parce que vous êtes une petite entreprise ? Les robots, eux, ne font pas la différence. Ils testent tout ce qu’ils trouvent. Un site vitrine de cinq pages est une cible aussi intéressante qu’un autre, justement parce qu’il est souvent moins bien protégé.
Ce que coûte un site piraté
Le vrai prix d’un piratage ne se limite pas à la facture de remise en état. Il faut aussi compter :
- un site hors ligne, parfois pendant plusieurs jours, et les demandes de contact ou les ventes perdues pendant ce temps ;
- des données perdues ou dérobées, avec les obligations qui en découlent si des informations personnelles sont concernées ;
- un site signalé comme dangereux par les navigateurs, voire retiré des résultats de Google, avec des semaines de travail pour retrouver sa place ;
- et surtout, une image abîmée auprès de vos clients, difficile à réparer.
Mis bout à bout, un seul incident coûte souvent bien plus cher que plusieurs années de maintenance. Encore une fois, c’est la logique de l’assurance : une petite somme régulière pour éviter une grosse dépense imprévue.
Maintenance de site et hébergement : les deux faces de la même protection
La faille PHP l’a bien montré : la sécurité d’un site se joue à deux niveaux. D’un côté le serveur, qui doit être maintenu à jour et correctement configuré. De l’autre, le site lui-même, avec WordPress, son thème et ses extensions. Si l’un des deux est négligé, l’autre ne suffit pas.
C’est pour cela que nous proposons ensemble la maintenance, l’hébergement et la sécurité de votre site. Concrètement, cela couvre :
- les mises à jour suivies de WordPress, du thème et des extensions, testées avant d’être appliquées ;
- des sauvegardes régulières, stockées en dehors du serveur, pour pouvoir revenir en arrière en cas de problème ;
- un hébergement sécurisé, avec un serveur tenu à jour, un pare-feu et un certificat de sécurité ;
- une surveillance du site, pour réagir vite si quelque chose ne va pas ;
- un interlocuteur qui connaît votre site, et qui s’en occupe quand l’actualité s’emballe, comme cette semaine.
Pour les sites WordPress les plus exposés (boutiques en ligne, espaces clients, formulaires très sollicités), nous allons plus loin avec notre offre de protection renforcée pour WordPress : filtrage des connexions, blocage des attaques connues, analyse régulière à la recherche de code malveillant.
Si vous voulez savoir plus précisément en quoi consiste le travail au quotidien, nous l’avons détaillé dans un précédent article : pourquoi confier la maintenance de votre site WordPress à des professionnels.
Les questions qu’on nous pose le plus
Mon site est-il concerné par cette faille PHP ?
Tous les sites qui tournent avec PHP sont potentiellement concernés, quel que soit le CMS. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions 8.1 et plus anciennes ne sont plus maintenues par le projet PHP et ne reçoivent pas de correctif officiel.
Mon hébergeur ne s’en occupe-t-il pas tout seul ?
Sur un hébergement mutualisé, l’hébergeur met généralement PHP à jour lui-même. Sur un serveur dédié ou un VPS, c’est au propriétaire du serveur de le faire, comme le rappelle OVHcloud. Et dans tous les cas, l’hébergeur ne touche ni à WordPress, ni à votre thème, ni à vos extensions.
Comment savoir quelle version de PHP utilise mon site ?
Sous WordPress, rendez-vous dans Outils, puis Santé du site, onglet Informations, rubrique Serveur. La version de PHP y est indiquée. Vous pouvez aussi la retrouver dans l’espace client de votre hébergeur.
Mon site est petit, a-t-il vraiment besoin d’une maintenance ?
Oui. Les attaques sont automatisées et ne choisissent pas leurs cibles selon leur taille. Un petit site peu suivi est même souvent plus facile à pirater qu’un grand site bien surveillé.
Que faire si mon site a déjà été piraté ?
Ne restez pas seul face au problème et ne supprimez rien dans la précipitation. Changez vos mots de passe, prévenez votre hébergeur et faites appel à un professionnel pour nettoyer le site, identifier la porte d’entrée et la refermer.
Qui veille sur votre site ?
Si vous ne savez pas répondre à cette question, c’est le bon moment pour vous la poser. Chez Subotaï, on peut commencer par un audit gratuit de votre site : versions utilisées, mises à jour en retard, points faibles éventuels. Vous saurez où vous en êtes, sans engagement.
