Faille critique dans PHP : des sites belges hors ligne, ce qu'il faut vérifier

Le 21 octobre 2026, la PHP Foundation publie en urgence un correctif pour deux failles critiques dans PHP, le langage qui fait tourner environ 70 % des sites web dans le monde. Par précaution, DPG Media, Roularta, Smartschool et la police fédérale mettent plusieurs sites belges hors ligne le temps d'appliquer la mise à jour, rapportent la RTBF et la DH. Le Centre pour la Cybersécurité Belgique appelle toutes les entreprises à installer le correctif sans attendre. Pour une PME avec un site web, la question porte sur la version de PHP chez l'hébergeur, pas sur WordPress.

1. Une faille dans le moteur PHP, pas dans WordPress

Les deux failles corrigées le 21 octobre touchent PHP lui-même, le moteur qui exécute le code derrière la majorité des sites web, pas une extension ni un thème. Selon la DH, elles permettent à un attaquant de prendre le contrôle complet d'un serveur à distance, sans compte ni mot de passe.

Un site WordPress ou PrestaShop parfaitement mis à jour reste donc exposé si la version PHP de l'hébergement n'a pas reçu le correctif. Les versions sûres sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ou supérieures.

2. Des sites belges majeurs coupés par précaution

Le 21 octobre, DPG Media et le groupe Roularta (Le Vif, Trends-Tendances, Flair, Femmes d'Aujourd'hui) ont temporairement suspendu plusieurs sites, tout comme la plateforme scolaire Smartschool, largement utilisée en Flandre, rapporte la RTBF. Le site de la police fédérale et plusieurs portails fédéraux ont aussi été mis hors ligne, la ligne d'urgence 101 restant opérationnelle.

Selon le Centre pour la Cybersécurité Belgique, aucune attaque confirmée ne visait de site belge au moment des faits. La coupure était une mesure de précaution, le temps d'installer le correctif publié par la PHP Foundation.

3. Pourquoi les entreprises réagissent plus vite qu'avant

Pour Charles Cuvelliez, expert en cybersécurité à l'ULB cité par La Libre, la nouveauté n'est pas la faille elle-même. C'est la réaction en chaîne qu'elle déclenche. Les organisations coupent désormais leurs systèmes par précaution, plutôt que d'attendre une attaque confirmée.

Il compare la situation à la faille Heartbleed de 2014, qui touchait 80 % des serveurs sans provoquer de mise à l'arrêt générale. Aujourd'hui, la fenêtre entre la publication d'une faille et son exploitation s'est fortement réduite.

4. Ce que ça change pour une PME avec un site web

La plupart des petites entreprises n'ont pas d'équipe technique qui suit les failles de sécurité au jour le jour. Si l'hébergement est géré par un prestataire, la mise à jour PHP est en principe automatique. Si le site tourne sur un hébergement non géré ou un serveur dédié, c'est à l'entreprise de vérifier.

Une coupure de site, même de quelques heures, interrompt aussi les formulaires de contact, les pages de destination des campagnes publicitaires en cours et la prise de rendez-vous en ligne. Après un correctif d'urgence, vérifier que ces parcours fonctionnent encore est aussi important que le correctif lui-même.

Le regard IA, l'humain d'abord

Une fois une faille publiée, l'intelligence artificielle peut scanner un parc de sites et repérer en quelques minutes les versions de PHP exposées, ce qui nourrit l'inquiétude des experts cités par La Libre sur la vitesse de création des exploits. Mais décider de couper un site en pleine campagne, choisir l'hébergeur qui patchera à temps et vérifier que les formulaires fonctionnent encore après la mise à jour restent des décisions humaines. L'IA exécute. L'expertise décide, et veille.