Face aux failles de sécurité critiques touchant PHP, Majelan a pris une décision immédiate : mettre hors ligne les sites dont nous assurons la gestion, le temps d’effectuer les mises à jour nécessaires. Cette déconnexion a duré trois heures. Une interruption volontaire pour donner la priorité à la sécurité de vos sites et de leurs données.
Dans cet article
Pourquoi cette alerte nécessitait-elle une intervention rapide ?
PHP est un langage utilisé sur les serveurs pour faire fonctionner de nombreux sites internet, notamment WordPress. Même si vous ne le voyez jamais lorsque vous consultez une page, il participe au fonctionnement du site en arrière-plan. Le CSIRT CyberCorsica a notamment alerté les entreprises, associations et collectivités sur cette dépendance.
Deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont conduit l’équipe de PHP à publier des correctifs ce 21 octobre. Elles peuvent permettre à un attaquant d’exécuter du code à distance sans authentification. L’éditeur demande donc aux utilisateurs de PHP de procéder immédiatement aux mises à jour, comme le précise son bulletin officiel du 21 octobre.
Pour les responsables de sites, l’enjeu est concret : limiter l’exposition des installations vulnérables pendant que les corrections sont appliquées. Le CERT-FR recommande ainsi d’isoler les équipements affectés, puis de les faire évoluer vers une version maintenue disposant des derniers correctifs.
Pourquoi nous avons choisi de déconnecter les sites
Chez Majelan, nous avons directement mis les sites hors ligne pendant l’intervention.
Une simple page affichant « Site en maintenance » ne constitue pas, à elle seule, une protection. Si le serveur continue de traiter les requêtes avec une version vulnérable de PHP, le risque peut persister derrière ce message. L’équipe de PHP précise d’ailleurs que, dans certaines configurations, une attaque peut se déclencher avant même l’exécution du code du site.
Ce qui protège, c’est la coupure effective de l’accès au système concerné. Une page de maintenance peut être servie par une infrastructure séparée tandis que le système vulnérable est isolé. Le message visible ne permet donc pas, à lui seul, de savoir quelle protection a été mise en place.
Notre choix a été de déconnecter les sites pendant les mises à jour afin de limiter leur exposition durant cette intervention.
Trois heures d’interruption pour effectuer les mises à jour
Nous savons qu’un site indisponible représente une gêne pour votre activité et pour vos visiteurs. Cette coupure a donc été limitée au temps nécessaire à l’intervention : trois heures, le temps d’effectuer les mises à jour avant la remise en ligne.
Cette décision était préventive. Mettre un site hors ligne face à une alerte de sécurité ne signifie pas qu’il a été piraté : cela permet d’intervenir sans maintenir inutilement un service vulnérable accessible au public.
La sécurité d’un site se suit au quotidien
Cet épisode rappelle que la sécurité d’un site dépend de l’ensemble de son environnement technique. Les mises à jour de WordPress, des thèmes et des extensions doivent s’accompagner d’un suivi des composants de l’hébergement, dont PHP.
Pour Majelan, ce suivi fait partie de l’accompagnement de votre site. Face à une alerte critique, notre priorité est de prendre les mesures nécessaires rapidement, tout en limitant autant que possible les conséquences pour votre activité.
Vous souhaitez faire le point sur le suivi technique de votre site ? Échangeons avec l’équipe Majelan.