C'est quoi PHP, et pourquoi une faille PHP vous concerne même sans coder ?

WindowsMacMis à jour

PHP est un langage de programmation pour créer des sites web. Le manuel de PHP le décrit comme « un langage de scripts généraliste et Open Source, spécialement conçu pour le développement d'applications web ». Il tourne sur l'ordinateur qui envoie la page, le serveur, et pas sur le téléphone ou l'ordinateur sur lequel vous la lisez. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

PHP est un langage open source dans lequel beaucoup de sites sont écrits. Son code s'exécute sur le serveur du site, qui fabrique chaque page et envoie le résultat à votre navigateur. C'est pour cela qu'une faille dans PHP concerne ceux qui gèrent des sites, et que la correction est une mise à jour sur le serveur, pas sur votre appareil.

À quoi sert PHP ?

Surtout à fabriquer des pages qui changent. Une page web simple est un fichier figé. Une page en PHP est un petit programme qui écrit la page au moment où vous la demandez, ce qui lui permet d'afficher votre panier, votre compte ou les derniers articles.

Le manuel de PHP présente le script côté serveur comme « l'utilisation la plus traditionnelle, et aussi le principal objet de PHP ». Il cite un second usage : des scripts lancés en ligne de commande, par exemple à intervalles réguliers, ou pour traiter des fichiers texte.

Vous croisez aussi PHP sans voir son nom. La page anglaise de WordPress.org sur la mise à jour de PHP indique que PHP est l'un des langages de programmation sur lesquels WordPress est construit.

Que veut dire « côté serveur » pour un site et ses visiteurs ?

Que le travail se fait sur l'ordinateur du site avant que quoi que ce soit ne vous parvienne. Le manuel de PHP explique ce qui le distingue de JavaScript, qui tourne dans votre navigateur : « le code est exécuté sur le serveur, générant ainsi le HTML, qui sera ensuite envoyé au client ». Le client, c'est votre navigateur.

Quand vous ouvrez une page d'un site en PHP, le serveur exécute le PHP, produit une page web ordinaire et vous l'envoie. Le manuel précise que le client ne reçoit que le résultat du script, sans accès au code qui l'a produit, et qu'un serveur peut être configuré de sorte qu'il n'y ait « aucun moyen pour les utilisateurs de savoir que PHP est utilisé ».

Pour un visiteur, cela a deux conséquences simples. Vous n'avez pas besoin de PHP pour utiliser un site en PHP, et vous ne pouvez généralement pas savoir si un site l'utilise.

Pourquoi une seule faille PHP touche-t-elle autant de sites ?

Parce que tous les sites qui utilisent PHP font tourner le même logiciel de base, et qu'une faille dans ce logiciel est partagée par tous tant que chacun n'est pas mis à jour. Le 21 octobre 2026, le projet PHP a annoncé deux failles critiques, CVE-2026-109618 et CVE-2026-109619, et a indiqué qu'elles concernent toutes les installations de PHP qui répondent à des requêtes web. L'alerte du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, liste comme touchées toutes les versions 5.x, 7.x, 8.0.x et 8.1.x, ainsi que les versions 8.2 à 8.5 antérieures aux correctifs.

Aucune des sources officielles de ce guide ne donne de nombre ou de pourcentage de sites qui utilisent PHP, donc nous n'en donnons pas. Elles disent en revanche que PHP est répandu et parfois difficile à repérer. L'agence américaine CISA écrit que PHP est souvent un composant d'autres logiciels et que sa présence n'est pas toujours directement visible. Le Centre canadien pour la cybersécurité demande de repérer les produits, appareils et conteneurs qui intègrent des composants PHP vulnérables. La page anglaise de WordPress.org sur la mise à jour de PHP ajoute que PHP, parce qu'il est si populaire, est une cible pour les pirates.

Les failles elles-mêmes, leur gravité et les versions qui les corrigent sont expliquées dans notre guide faille PHP PHP2Shell.

Pourquoi mon appareil ne fait-il pas tourner le PHP du site ?

Parce que PHP tourne là où vit le site. Votre navigateur demande une page au serveur, le serveur exécute son PHP, et ce qui vous revient est la page terminée, en HTML. L'avis PHP du 21 octobre désigne comme exposées des configurations de serveur, dont PHP-FPM, Apache avec mod_php et LiteSpeed.

Consulter un site qui tourne sur une version de PHP ancienne ou non corrigée n'installe pas ce PHP sur votre téléphone ou votre ordinateur. Le risque pour le visiteur est d'une autre nature : si des pirates prennent le contrôle d'un site, ils peuvent modifier ce qu'il vous montre. Notre guide visiter un site piraté, est-ce dangereux ? détaille ce que cela donne et à quoi faire attention.

La seule exception : si vous avez installé PHP vous-même, par exemple pour créer ou tester des sites sur votre ordinateur. Vous avez alors une copie à mettre à jour, comme n'importe quel logiciel.

Une faille PHP, qu'est-ce que c'est, en termes simples ?

Une faille est une faiblesse dans un logiciel, que quelqu'un pourrait utiliser pour lui faire faire ce qu'il ne devrait pas. Le projet PHP indique que les failles d'octobre 2026 peuvent permettre une exécution de code à distance sans authentification. Autrement dit, quelqu'un pourrait faire exécuter au serveur des instructions de son choix sans se connecter.

La réponse du projet PHP est la mise à jour. Ses notes de version disent qu'il n'existe pas de mesure de contournement complète et que la mise à jour est le seul choix sûr. Cybermalveillance.gouv.fr, dans son AlerteCyber du 22 octobre, demande de mettre à jour au plus vite les équipements et logiciels concernés. Si vous gérez un site, la première étape est de connaître sa version : notre guide pour vérifier la version de PHP de votre site montre où regarder et liste les versions corrigées.

Autres questions

PHP est-il un virus ou un programme installé sur mon ordinateur ?

Non. PHP est un langage de programmation et le logiciel qui l'exécute, pas un logiciel malveillant. Il tourne sur les serveurs qui hébergent les sites. Pour savoir si votre ordinateur en a une copie, notre guide PHP est-il installé sur mon ordinateur ? donne la commande à lancer.

Que signifie PHP ?

Le manuel de PHP indique que PHP signifie « PHP: Hypertext Preprocessor », et que le premier mot de l'acronyme est l'acronyme lui-même : c'est un acronyme récursif. « Preprocessor », préprocesseur, décrit ce qu'il fait : il travaille sur la page avant qu'elle soit envoyée à votre navigateur.

Qui décide de la version de PHP de mon site ?

En général votre hébergeur. La page anglaise de WordPress.org sur la mise à jour de PHP indique que c'est votre hébergeur qui détermine les versions de PHP disponibles pour votre site, et que beaucoup d'hébergeurs vous laissent la changer vous-même. Notre guide pour vérifier la version de PHP montre où regarder.

Peut-on savoir si un site utilise PHP ?

Souvent non. Le manuel de PHP indique qu'un serveur peut être configuré de sorte qu'aucun utilisateur ne puisse savoir que PHP est utilisé. Si le site est le vôtre, votre panneau d'hébergement ou votre hébergeur vous donnera la version.

PHP est-il sûr ?

Cela dépend de la version qu'utilise le site : les versions maintenues reçoivent des correctifs de sécurité, celles en fin de vie n'en reçoivent plus. Notre guide PHP est-il sécurisé ? explique comment fonctionne le suivi des versions.

Sources