PHP est-il sécurisé ? Le langage, et la version que vous utilisez

WindowsMacMis à jour

Le projet PHP suit chaque branche de PHP pendant quatre ans, puis cesse d'y corriger les problèmes de sécurité. La sécurité de PHP pour votre site dépend donc moins du langage que de la version que le site utilise, et du fait qu'elle soit corrigée ou non. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

PHP est sûr à utiliser quand votre site tourne sur une branche que le projet PHP maintient encore, à jour de sa dernière version. Au 23 octobre 2026, cela veut dire PHP 8.2, 8.3, 8.4 ou 8.5, au moins en 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Les branches en fin de vie ne reçoivent plus les correctifs de sécurité du projet. Pour une faille liée mais bien moins grave, qu'il juge peu probable en pratique, le projet PHP conseille dans un avis d'information du 23 octobre de désactiver le suivi de progression des envois de session en attendant la prochaine version corrective habituelle, comme l'explique notre guide faille PHP PHP2Shell.

PHP est-il sécurisé en lui-même ?

Le manuel de PHP est franc sur ce point. Son chapitre sur la sécurité explique que l'interpréteur PHP peut accéder aux fichiers, exécuter des commandes et ouvrir des connexions réseau, et que « toutes ces propriétés rendent fragile la sécurité d'un serveur web ». Il ajoute qu'avec une sélection rigoureuse des options et de bonnes habitudes de programmation, PHP permet d'obtenir « un équilibre parfait entre liberté et sécurité ».

Le langage est donc un outil, et la sécurité d'un site dépend de sa configuration et de son suivi. Le manuel précise que la création d'un environnement sécurisé et sa sécurisation sont « largement à la charge du développeur PHP ». Pour un site personnel, ce travail se partage en général entre vous, votre hébergeur et l'éditeur de votre logiciel de site, comme WordPress. Si vous ne savez pas bien ce que fait PHP sur votre site, notre guide c'est quoi PHP ? part du début.

Quelle différence entre le langage et la version que j'utilise ?

PHP existe en branches, comme 8.3 ou 8.4, et chaque branche reçoit de petites versions numérotées avec des corrections, comme 8.3.36. Quand on se demande si PHP est sûr, la vraie question est de savoir si votre branche est encore maintenue, et si vous avez sa dernière version.

La page des versions prises en charge du projet PHP indique que chaque branche est entièrement prise en charge pendant deux ans après sa première version stable, puis reçoit pendant deux ans de plus des correctifs pour les seuls problèmes de sécurité critiques. Après ces quatre ans, elle arrive en fin de vie. Au 23 octobre 2026, la page liste 8.2, 8.3, 8.4 et 8.5 comme prises en charge, et la prise en charge de sécurité de 8.2 s'arrête le 31 décembre 2026. Le tableau complet est sur la page des versions prises en charge de php.net.

Si votre site tourne sur une branche plus ancienne, notre guide sur la fin de support de PHP 8.1 et des versions plus anciennes présente vos options.

Pourquoi les mises à jour de sécurité comptent-elles autant ?

Parce qu'une faille découverte et corrigée reste ouverte sur tout serveur qui n'a pas installé la correction. La page des versions prises en charge de PHP indique que les utilisateurs d'une version en fin de vie devraient mettre à jour dès que possible, car ils peuvent être exposés à des failles de sécurité non corrigées.

Cybermalveillance.gouv.fr dit la même chose des logiciels en général. Ses conseils sur les mises à jour expliquent que les éditeurs et fabricants proposent des mises à jour pour corriger les failles de sécurité, que les cybercriminels peuvent utiliser pour prendre le contrôle d'un appareil. Il recommande de faire les mises à jour dès qu'elles sont disponibles, et d'activer leur installation automatique quand le logiciel le permet.

Pour un site web, la mise à jour concerne en général PHP sur le serveur, que votre hébergeur gère peut-être, et aussi le logiciel du site et ses extensions. Mettre l'un à jour ne couvre pas l'autre.

Que montre PHP2Shell à ce sujet ?

Le 21 octobre 2026, le projet PHP a corrigé deux failles critiques, que l'agence américaine CISA désigne sous le nom de « php2shell », dans de nouvelles versions des quatre branches maintenues seulement. L'avis indique que PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP : leurs utilisateurs doivent compter sur un correctif rétroporté par un fournisseur, ou passer à une branche maintenue. L'alerte du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, classe d'ailleurs toutes les versions 5.x, 7.x, 8.0.x et 8.1.x parmi les versions touchées. Notre guide faille PHP PHP2Shell présente les failles en détail.

Comment savoir si mon site est sur une version maintenue et corrigée ?

Trouvez la version exacte de PHP de votre site, puis comparez-la aux branches maintenues et à la dernière version corrigée de sa branche. Si vous ne trouvez pas le numéro, votre hébergeur peut vous le donner.

Notre guide pour vérifier la version de PHP de votre site montre où regarder dans WordPress et dans un panneau d'hébergement, avec les questions à poser à votre hébergeur. S'il faut changer de version, mettre à jour PHP sur WordPress explique comment, avec une sauvegarde d'abord.

Autres questions

PHP est-il encore sûr en 2026 ?

Oui, sur une version maintenue et corrigée. Au 23 octobre 2026, la page des versions prises en charge de PHP liste 8.2, 8.3, 8.4 et 8.5. Les branches antérieures à 8.2 sont en fin de vie, et la page indique que leurs utilisateurs peuvent être exposés à des failles non corrigées.

PHP 8.2 est-il sûr ?

La page des versions prises en charge de PHP indique que la prise en charge de sécurité de 8.2 s'arrête le 31 décembre 2026. Notre guide sur la fin de support des anciennes versions de PHP couvre 8.2 et ce qu'il faut prévoir.

Visiter un site en PHP met-il mon ordinateur en danger ?

PHP tourne sur le serveur web, pas sur votre appareil, et l'avis PHP2Shell porte sur les installations qui répondent à des requêtes web. Les corriger est le travail du propriétaire du site. Notre guide visiter un site piraté, est-ce dangereux ? couvre le côté visiteur.

Si PHP est à jour, mon site est-il sécurisé ?

Pas à lui seul. Le manuel de PHP indique que la sécurité d'un environnement PHP dépend aussi de sa configuration et de la façon dont le code est écrit. Votre logiciel de site, vos thèmes et vos extensions ont leurs propres mises à jour, et votre hébergeur est responsable du serveur autour.

Qui met à jour PHP sur un site hébergé ?

Souvent votre hébergeur, parfois vous, depuis votre panneau d'hébergement. Le Centre canadien pour la cybersécurité demande de repérer les produits, appareils et conteneurs qui intègrent des composants PHP vulnérables. Si vous ne savez pas qui est responsable du vôtre, demandez à votre hébergeur quelle version utilise votre site et si elle a la version corrigée.

Sources