Mise à jour PHP : quelle version, et comment la faire sans casse
PHP fait tourner WordPress et la plupart des sites dynamiques. Une version en fin de vie ne reçoit plus de correctifs, et en octobre 2026, les failles PHP2Shell ont rendu la mise à jour PHP urgente pour tout site en PHP. Voici les versions encore suivies et la marche à suivre.
Versions de PHP et fin de support
Chaque branche de PHP reçoit d’abord un support actif, puis uniquement des correctifs de sécurité, puis plus rien. Le tableau indique aussi, pour chaque branche, la première version corrigée contre PHP2Shell.
| Version | Support | PHP2Shell |
|---|---|---|
| PHP 8.5 | Support actif jusqu’à fin 2027, correctifs de sécurité jusqu’au 31 décembre 2029 | Corrigée à partir de 8.5.12 |
| PHP 8.4 | Support actif jusqu’à fin 2026, correctifs de sécurité jusqu’au 31 décembre 2028 | Corrigée à partir de 8.4.27 |
| PHP 8.3 | Correctifs de sécurité uniquement, jusqu’au 31 décembre 2027 | Corrigée à partir de 8.3.36 |
| PHP 8.2 | Correctifs de sécurité uniquement, jusqu’au 31 décembre 2026 | Corrigée à partir de 8.2.35 |
| PHP 8.1 | Fin de vie le 31 décembre 2025 | Aucun correctif : passez à une version suivie |
| PHP 8.0 | Fin de vie en novembre 2023 | Aucun correctif : passez à une version suivie |
| PHP 7.x | Fin de vie (7.4 : novembre 2022) | Aucun correctif : passez à une version suivie |
| PHP 5.x | Fin de vie depuis des années | Aucun correctif : passez à une version suivie |
Source : php.net, Supported Versions
PHP2Shell : ce qu’il faut savoir
PHP2Shell, ce sont deux failles dans PHP lui-même (CVE-2026-109618 et CVE-2026-109619, CVSS 9.2) qui permettent à un attaquant d’exécuter du code sur le serveur. Elles touchent tout site en PHP, quelles que soient les extensions installées. Les attaques ont commencé le 17 octobre, quatre jours avant la publication du correctif, le 21 octobre 2026.
- Mettez à jour vers 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent. PHP 8.1 et les versions plus anciennes ne reçoivent pas de correctif.
- Laissez session upload progress désactivé, même après la mise à jour :
session.upload_progress.enabled = 0dans la configuration du serveur, pas dans.user.ini. Une troisième faille (CVE-2026-115560, publiée le 23 octobre) touche aussi les versions corrigées. - Le mode maintenance de WordPress ne protège pas : PHP traite toujours chaque requête.
Notre alerte complète, avec les serveurs concernés et les mesures provisoires, est en néerlandais.
Trouver votre version de PHP
- Dans WordPress : Outils, Santé du site, onglet Infos, section Serveur.
- Chez votre hébergeur : dans le panneau de contrôle (cPanel, Plesk ou l’interface de l’hébergeur), cherchez « version PHP » ou « PHP Selector ».
- Sur un serveur à vous :
php -ven ligne de commande. Attention, le serveur web peut utiliser une autre version que la ligne de commande. - De l’extérieur : notre test de sécurité lit la version si votre serveur l’affiche, et dit si elle est corrigée.
Faire la mise à jour PHP en sécurité
- Faites une sauvegarde complète des fichiers et de la base de données, et vérifiez que vous pouvez la restaurer.
- Mettez d’abord à jour WordPress, le thème et les extensions. Les versions récentes sont plus souvent compatibles avec les nouvelles versions de PHP. Supprimez les extensions que vous n’utilisez plus.
- Testez sur une copie (environnement de test chez votre hébergeur) avec la nouvelle version de PHP.
- Changez la version en production, de préférence à un moment calme, une branche à la fois si vous venez de loin.
- Vérifiez le site : pages principales, formulaire de contact, paiement, et le journal d’erreurs PHP.
- Un problème ? Revenez à la version précédente dans le panneau de l’hébergeur, puis identifiez l’extension en cause.
L’alternative : un site sans PHP
Une mise à jour PHP ne règle le problème que jusqu’à la prochaine faille ou la prochaine fin de support. Pour un site vitrine, il existe une autre voie : ne plus avoir de PHP du tout. Nous reconstruisons les sites WordPress en pages statiques. Rien ne tourne sur le serveur, donc plus de mise à jour PHP à suivre, et PHP2Shell ne vous concerne plus.
Dès 399 € une fois puis dès 39 € par mois, hors TVA
Pour 39 € par mois, nous gérons l’hébergement, les sauvegardes et la sécurité, avec une heure de modifications par mois. Comment se passe la migration.
Questions fréquentes
Quelle version de PHP choisir ?
PHP 8.4 ou 8.3 pour la plupart des sites WordPress aujourd’hui, en version corrigée contre PHP2Shell. PHP 8.5 est la plus récente, mais certaines extensions anciennes ne sont pas encore compatibles. Évitez 8.2 pour une nouvelle mise à jour : ses correctifs de sécurité s’arrêtent fin 2026.
La mise à jour PHP peut-elle casser mon site ?
Oui, surtout en sautant plusieurs versions d’un coup (de 7.4 à 8.3 par exemple). Les erreurs viennent presque toujours d’une extension ou d’un thème ancien. D’où l’intérêt d’une sauvegarde et d’un test sur une copie avant de changer la version en production.
Qui fait la mise à jour PHP : moi ou mon hébergeur ?
Sur un hébergement mutualisé, vous choisissez en général la version dans le panneau de votre hébergeur, et l’hébergeur installe les correctifs de cette version. Sur un serveur à vous (VPS), c’est à vous ou à votre administrateur de faire les deux.
Mon site tourne en PHP 8.1. Est-ce grave ?
PHP 8.1 ne reçoit plus de correctifs de sécurité depuis le 31 décembre 2025, et aucune version corrigée contre PHP2Shell n’existe pour cette branche. Planifiez la mise à jour maintenant, ou demandez à votre hébergeur s’il propose un support étendu.
Vous gardez WordPress ? Lisez ce que demande la maintenance WordPress.
Une question sur votre version de PHP ?
Envoyez-nous l’adresse de votre site. Nous vous disons où vous en êtes et ce qu’il faut faire.