Mettre à jour PHP sur WordPress après la faille PHP2Shell

WindowsMacMis à jour

On ne met pas PHP à jour depuis WordPress. PHP tourne sur le serveur de votre hébergeur : vous le changez dans votre panneau d'hébergement, ou vous demandez à l'hébergeur de le faire. Depuis l'avis de sécurité PHP du 21 octobre 2026, il faut une version corrigée, et le projet PHP indique que la mise à jour est la seule correction complète. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Sauvegardez votre site, puis mettez à jour WordPress, les thèmes et les extensions depuis Tableau de bord > Mises à jour. Changez la version de PHP dans votre panneau d'hébergement ; dans cPanel, c'est MultiPHP Manager. Vérifiez ensuite que le site fonctionne et que la nouvelle version apparaît sous Outils > Santé du site > Informations > Serveur. Si vous ne pouvez pas la changer vous-même, demandez à votre hébergeur.

Pourquoi faut-il mettre PHP à jour maintenant ?

Le 21 octobre 2026, le projet PHP a publié les correctifs de deux failles critiques, CVE-2026-109618 et CVE-2026-109619, que l'agence américaine CISA désigne sous le nom de « php2shell ». L'avis PHP indique qu'elles peuvent permettre l'exécution de code à distance sans authentification et qu'elles concernent toutes les installations de PHP qui répondent à des requêtes web. WordPress tourne sur PHP : un site WordPress est donc concerné, quelle que soit sa version de WordPress. En France, Cybermalveillance.gouv.fr demande d'appliquer les correctifs au plus vite.

La liste des versions corrigées et la façon de connaître la vôtre sont dans notre guide pour vérifier la version de PHP de votre site. Les failles elles-mêmes sont expliquées dans notre guide sur la faille PHP.

Comment sauvegarder WordPress avant de changer PHP ?

Sauvegardez les deux parties du site. Le guide de sauvegarde de WordPress explique que la base de données contient vos articles et vos commentaires, et que les fichiers contiennent tout le reste : WordPress lui-même, les thèmes, les extensions, les médias envoyés et le fichier wp-config.php. Sauvegarder les fichiers ne sauvegarde pas la base de données, il vous faut donc les deux.

  1. Regardez si votre hébergeur propose un outil de sauvegarde.
  2. Sinon, utilisez une extension de sauvegarde, ou exportez la base de données avec phpMyAdmin et copiez les fichiers par FTP.
  3. Gardez des copies à plusieurs endroits. WordPress conseille au moins 3 à 5 sauvegardes récentes, par exemple sur votre serveur, dans un stockage en ligne et sur votre ordinateur.

Selon WordPress.org, une sauvegarde vous permet de remettre votre site tel qu'il était si quelque chose se passe mal. Cybermalveillance.gouv.fr conseille aussi de sauvegarder vos données et vos logiciels avant toute mise à jour.

Comment mettre à jour WordPress, les thèmes et les extensions d'abord ?

La page de WordPress.org sur la mise à jour de PHP demande de tout mettre à jour avant de changer PHP, puis de vérifier que le site fonctionne toujours.

  1. Dans l'administration de WordPress, allez dans Tableau de bord > Mises à jour.
  2. Si une nouvelle version de WordPress est proposée, cliquez sur « Mettre à jour vers la version… ».
  3. Mettez à jour les extensions et les thèmes qui ont une mise à jour en attente.
  4. Ouvrez votre site et parcourez les pages qui comptent le plus, comme la boutique ou le formulaire de contact.

Pour savoir si vos thèmes et extensions sont prêts, WordPress suggère l'extension PHP Compatibility Checker, en précisant qu'elle n'est pas parfaite et peut remonter des faux positifs. Si un élément est signalé, contactez son développeur, ou passez à une alternative du répertoire WordPress.org.

Comment changer la version de PHP dans cPanel ?

Dans cPanel, MultiPHP Manager, rangé dans la rubrique Software, permet de choisir la version de PHP de chaque domaine.

  1. Connectez-vous à cPanel et ouvrez MultiPHP Manager.
  2. Cochez la case à côté du domaine à modifier.
  3. Choisissez une version dans le menu PHP Version.
  4. Cliquez sur Apply.

cPanel précise que le menu ne propose que les versions installées sur le serveur et disponibles pour votre compte, et que c'est l'administrateur du serveur qui les installe. La version exacte que vous obtenez dépend donc de votre hébergeur, d'où l'intérêt de vérifier ensuite.

Pour les autres panneaux, la page de WordPress.org sur la mise à jour de PHP renvoie vers des tutoriels propres à plusieurs hébergeurs, et suggère d'écrire au vôtre s'il n'y figure pas.

Comment vérifier le site après la mise à jour de PHP ?

Vérifiez d'abord la version, puis le site lui-même.

  1. Dans WordPress, allez dans Outils > Santé du site, cliquez sur l'onglet Informations et dépliez Serveur.
  2. Descendez jusqu'à Version de PHP et vérifiez qu'il s'agit d'une version corrigée.
  3. Parcourez les pages principales du site, puis connectez-vous à l'administration et déconnectez-vous.
  4. Revenez dans Outils > Santé du site et regardez l'onglet État pour repérer tout nouveau problème critique.

Si quelque chose ne fonctionne plus, la page de WordPress.org sur la mise à jour de PHP indique que vous pouvez remettre, ou faire remettre, la version de PHP précédente, puis chercher l'origine du problème. Si vous devez restaurer une sauvegarde, la version anglaise de cette page demande de faire d'abord rétablir l'ancienne version de PHP par l'hébergeur, puis de restaurer la sauvegarde.

Quand faut-il plutôt demander à l'hébergeur ?

Adressez-vous à votre hébergeur dans l'un de ces cas :

  1. Le domaine affiche « Inherited » dans MultiPHP Manager. cPanel indique qu'il utilise alors la version par défaut du serveur, que seul l'administrateur du serveur peut fixer.
  2. La version voulue n'est pas dans le menu. cPanel indique que les versions n'apparaissent que si l'administrateur les a installées.
  3. Vous ne trouvez aucun réglage PHP, ou votre hébergement est géré pour vous.
  4. Votre site est en PHP 8.1 ou plus ancien. Le projet PHP ne met plus ces versions à jour, et le CERT-FR recommande d'isoler ces systèmes puis de migrer vers une version maintenue. Demandez à votre hébergeur s'il a appliqué un correctif, ou passez à une version maintenue.

Le NCSC britannique conseille, si la mise à jour est impossible, les mesures temporaires de PHP, puis la mise hors ligne si cela ne peut pas se faire vite. L'avis PHP précise que ces mesures ne rendent pas une installation sûre. Sur un hébergement mutualisé, c'est la mise à jour elle-même qu'il faut demander.

Autres questions

Peut-on mettre à jour PHP depuis le tableau de bord WordPress ?

Non. La page de WordPress.org sur la mise à jour de PHP indique que la version se change dans les réglages de votre hébergeur, ou en lui demandant. Le tableau de bord affiche votre version sous Outils > Santé du site > Informations > Serveur, et la Santé du site peut signaler une version obsolète comme un problème de sécurité, mais le changement se fait sur le serveur.

Quelle version de PHP choisir pour WordPress ?

La page anglaise « Update PHP » de WordPress.org recommande PHP 8.3 ou plus récent, dans sa version corrigée. La page des versions prises en charge de PHP montre que la 8.2 ne reçoit des correctifs de sécurité que jusqu'au 31 décembre 2026.

La mise à jour de PHP peut-elle casser mon site WordPress ?

Oui, si un thème ou une extension n'est pas prêt pour la nouvelle version. C'est pourquoi WordPress demande de sauvegarder et de tout mettre à jour d'abord, et suggère l'extension PHP Compatibility Checker. En cas de problème, vous pouvez revenir à l'ancienne version ou demander de l'aide à votre hébergeur le temps de corriger.

Mettre à jour WordPress suffit-il contre PHP2Shell ?

Non. Les failles sont dans PHP, pas dans WordPress. Mettre à jour WordPress, les thèmes et les extensions fait partie des conseils de WordPress avant un changement de PHP, mais l'avis PHP indique que seule une mise à jour de PHP corrige complètement le problème.

Et si mon site a déjà pu être modifié ?

Le NCSC britannique conseille de rechercher des signes de compromission et des portes dérobées sur les systèmes qui n'ont pas pu être mis à jour tout de suite. Notre guide site piraté : que faire reprend les premières étapes pour un site personnel.

Sources