Faille de sécurité PHP : faut-il repenser la façon de créer les sites web ?
— PHP, WordPress
Faille de sécurité PHP : faut-il repenser la façon de créer les sites web ?
Deux vulnérabilités critiques découvertes dans PHP rappellent que la sécurité d’un site internet dépend aussi de la technologie qui le fait fonctionner. L’occasion de s’intéresser aux alternatives à WordPress et aux architectures web qui permettent de réduire certaines dépendances.
Le 21 octobre 2026, deux vulnérabilités critiques ont été rendues publiques dans PHP, le langage de programmation qui fait fonctionner une grande partie du Web. Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, elles peuvent permettre, dans certaines conditions, l’exécution de code à distance sur un serveur vulnérable. Des correctifs ont été publiés et des chercheurs ont signalé des tentatives d’exploitation.
Cette actualité concerne directement WordPress, mais aussi de nombreux autres CMS et applications web reposant sur PHP.
Faut-il pour autant abandonner WordPress ? Certainement pas. En revanche, cet événement pose une question intéressante pour toute entreprise qui envisage de créer ou de refondre son site internet : avons-nous toujours besoin d’un CMS traditionnel, ou une architecture plus légère serait-elle mieux adaptée à notre projet ?
Chez [78].fr, nous travaillons avec différentes technologies, de WordPress et PHP au développement JavaScript et aux architectures JAMstack. Cette diversité permet de choisir une solution en fonction des besoins réels, plutôt que d’imposer le même outil à tous les projets.
PHP : une technologie omniprésente sur Internet
PHP est un langage exécuté sur le serveur. Il permet de générer les pages d’un site, de traiter les formulaires, de gérer les sessions des utilisateurs et d’interagir avec une base de données.
Son utilisation reste massive. Selon W3Techs, PHP est employé par 69,2 % des sites web dont le langage côté serveur est connu au 28 octobre 2026.
WordPress repose lui aussi sur PHP. D’après les statistiques de W3Techs, il représente 39,5 % de l’ensemble des sites web et 58,3 % des sites utilisant un CMS identifiable.
Ces chiffres donnent une idée de l’ampleur potentielle d’une vulnérabilité du moteur PHP.
Il faut toutefois distinguer deux choses : une technologie très répandue n’est pas nécessairement une technologie peu sûre. Le problème survient lorsqu’une vulnérabilité est découverte et que les systèmes concernés ne sont pas corrigés suffisamment rapidement.
PHP2Shell : que risque un site web ?
Les vulnérabilités désignées sous le nom de PHP2Shell touchent le moteur PHP lui-même, et non exclusivement WordPress.
Dans certaines configurations, elles peuvent permettre à un attaquant d’exécuter du code sur un serveur sans disposer au préalable d’un compte utilisateur. Selon les droits accordés au processus concerné, les conséquences peuvent inclure la compromission du site, l’accès à certaines données ou la modification de fichiers.
Les versions correctives annoncées le 21 octobre sont les suivantes :
- PHP 8.2.35 ;
- PHP 8.3.36 ;
- PHP 8.4.27 ;
- PHP 8.5.12.
La version à utiliser dépend notamment de la branche PHP installée, de son support et de la compatibilité de l’application. Il convient de vérifier les recommandations officielles et celles de son hébergeur.
Cette affaire illustre une difficulté structurelle : lorsqu’un site dépend d’une technologie vulnérable, il faut pouvoir identifier la version utilisée, appliquer les correctifs et vérifier que l’application fonctionne toujours correctement.
La maintenance technique n’est donc pas une option, même pour un site qui semble parfaitement fonctionner.
WordPress est-il le problème ?
WordPress reste une solution pertinente pour de nombreux sites vitrines, blogs, sites institutionnels et boutiques en ligne. Son écosystème, son interface d’administration et sa souplesse en font un outil adapté à de nombreux besoins.
Mais WordPress repose sur plusieurs couches techniques :
PHP, qui exécute une grande partie du code ;
une base de données, généralement MySQL ou MariaDB ;
le cœur de WordPress ;
un thème et éventuellement un constructeur de pages ;
des extensions qui ajoutent des fonctionnalités.
Chaque composant doit être maintenu. Une vulnérabilité dans PHP ne se corrige pas nécessairement en mettant WordPress à jour. De la même manière, un serveur utilisant une version récente de PHP n’est pas à l’abri d’une faille dans une extension WordPress.
Il faut donc éviter les conclusions hâtives : le choix d’une autre technologie ne garantit pas, à lui seul, un site plus sécurisé.
La vraie question est plutôt de savoir si toutes les briques techniques utilisées sont nécessaires, correctement maintenues et proportionnées aux besoins du projet.
Pour un site vitrine essentiellement composé de pages de présentation, d’actualités et de formulaires de contact, une architecture beaucoup plus simple peut parfois suffire.
Quelles alternatives à WordPress et aux CMS en PHP ?
Plusieurs approches permettent de créer des sites web sans dépendre directement de PHP pour leur fonctionnement principal. Elles ne répondent pas toutes aux mêmes besoins.
1. Les générateurs de sites statiques
<PRIVATE_PERSON>es générateurs de sites statiques produisent les pages du site à l’avance, généralement sous forme de fichiers HTML, CSS et JavaScript.
Parmi les solutions connues, on trouve Astro, Eleventy ou Hugo.
Le principe est simple : au lieu de générer chaque page à la demande en exécutant du PHP et en interrogeant une base de données, les pages sont préparées lors de la construction du site, puis servies aux visiteurs.
Cette approche présente plusieurs avantages :
-
moins de code exécuté côté serveur pour afficher les pages ;
-
une surface d’attaque potentiellement réduite ;
-
de bonnes performances, selon l’architecture et l’hébergement ;
-
la possibilité d’héberger le site sur un service de diffusion de fichiers statiques.
Pour un site vitrine, un portfolio, un site éditorial ou une documentation, cette solution peut être particulièrement intéressante.
Elle comporte néanmoins des limites. La gestion de contenus, les espaces membres, la recherche avancée ou les fonctionnalités dynamiques peuvent nécessiter des services supplémentaires. Et les outils utilisés pour construire le site, ses dépendances JavaScript ou ses formulaires peuvent eux aussi présenter des vulnérabilités.
2. La JAMstack : séparer le site de ses services
La JAMstack est une approche d’architecture qui privilégie la génération de pages, les API et les services découplés.
Concrètement, le site public peut être constitué de pages statiques, tandis que les fonctions dynamiques sont assurées par des services spécialisés : formulaire de contact, moteur de recherche, authentification, paiement ou espace client.
Cette séparation permet de limiter les responsabilités d’un serveur unique et d’adapter chaque composant aux besoins du projet.
Elle peut aussi faciliter la diffusion du site depuis plusieurs points de présence dans le monde, avec des bénéfices possibles en matière de performances et de disponibilité.
Attention toutefois : une architecture JAMstack n’est pas synonyme d’absence de serveur. Les API et les fonctions serverless reposent bien sur une infrastructure qui doit être sécurisée et maintenue.
L’intérêt est de concevoir une architecture adaptée, pas de déplacer les risques sans les maîtriser.
3. Les CMS headless : conserver une interface d’administration sans imposer le même moteur au site public
Un CMS headless sépare la gestion des contenus de leur présentation.
Les rédacteurs disposent toujours d’une interface pour créer des pages, publier des actualités ou gérer des informations. En revanche, le site public récupère les contenus par une API et peut être développé avec une technologie différente.
Des solutions comme Strapi ou Directus permettent d’explorer cette approche.
Le principal intérêt est la liberté de conception : un même contenu peut alimenter un site web, une application mobile ou plusieurs interfaces.
Il faut cependant vérifier la technologie du CMS choisi. Tous les CMS headless ne sont pas indépendants de PHP, et WordPress lui-même peut être utilisé comme CMS headless.
Passer WordPress en mode headless ne supprime donc pas la dépendance à PHP si WordPress reste utilisé pour gérer les contenus.
Pour réduire cette dépendance, il faut sélectionner une solution dont le fonctionnement correspond réellement à l’objectif recherché.
4. Les développements spécifiques en JavaScript
Pour certains projets, notamment les applications web ou les services qui nécessitent une interface très interactive, un développement spécifique en JavaScript peut être préférable à un CMS traditionnel.
Des technologies comme Node.js permettent d’exécuter JavaScript côté serveur. Des frameworks tels que Next.js peuvent être utilisés pour construire des sites et des applications web, avec différentes stratégies de rendu.
Cette approche offre une grande liberté et peut convenir à des besoins métier particuliers : outils internes, interfaces de gestion, plateformes de réservation ou services sur mesure.
Elle demande cependant davantage de réflexion en amont, une bonne maîtrise technique et un budget de développement et de maintenance adapté.
Remplacer un CMS par une application sur mesure uniquement pour éviter PHP serait rarement une bonne raison. Le choix doit découler des fonctionnalités attendues, des contraintes de sécurité et du coût global du projet.
Comparatif : quelle solution choisir ?
| Solution | Atout principal | Point de vigilance |
|---|---|---|
| WordPress | Administration accessible, écosystème riche | Mises à jour du cœur, des extensions et de PHP |
| Site statique | Peu de traitements serveur pour afficher les pages | Fonctions dynamiques et gestion éditoriale à prévoir |
| JAMstack | Architecture modulaire et services découplés | Sécurisation des API et des services tiers |
| CMS headless | Contenus séparés de leur présentation | Le CMS peut lui-même dépendre de PHP |
| Développement JavaScript | Liberté fonctionnelle et technique | Coût, complexité et maintenance |
Il n’existe donc pas de solution universellement supérieure. Un site vitrine simple n’a pas les mêmes contraintes qu’une boutique en ligne, un portail métier ou une plateforme qui traite des milliers de demandes quotidiennes.
Peut-on créer un site sans PHP en 2026 ?
Oui, tout à fait. Mais cela ne signifie pas que PHP doit disparaître de tous les projets.
Pour un site de présentation qui évolue peu, un générateur statique peut réduire le nombre de composants nécessaires au fonctionnement du site public. Pour un projet qui demande une administration éditoriale avancée, un CMS headless peut être adapté. Pour une application métier, un développement spécifique peut offrir davantage de possibilités.
WordPress reste néanmoins un choix rationnel lorsque son écosystème répond aux besoins, que l’équipe sait le maintenir et que le budget doit rester maîtrisé.
Le véritable enjeu est de ne pas choisir un outil par habitude. Il est préférable d’évaluer le contenu à gérer, la fréquence des mises à jour, les fonctionnalités attendues, les compétences disponibles et les exigences de sécurité avant de décider.
Une architecture moderne doit aussi rester compréhensible et maintenable dans la durée. Une solution techniquement séduisante mais trop complexe pour les besoins réels peut devenir plus coûteuse et plus difficile à sécuriser qu’un WordPress correctement administré.
Conclusion : choisir la bonne technologie plutôt que suivre une mode
La découverte des vulnérabilités PHP2Shell rappelle que le Web repose sur des composants logiciels qui évoluent et qui nécessitent une surveillance régulière.
Elle ne condamne ni PHP ni WordPress. Elle souligne plutôt l’importance de maintenir ses outils, de corriger les vulnérabilités et de choisir une architecture proportionnée à ses objectifs.
Chez [78].fr, nous considérons que la création d’un site web commence par une réflexion sur les besoins du projet. WordPress, PHP, JavaScript, les générateurs statiques et les architectures JAMstack font partie d’un ensemble de possibilités que nous pouvons étudier selon le contexte.
L’objectif n’est pas de remplacer systématiquement WordPress, mais de construire un site performant, sécurisé et évolutif avec les technologies réellement adaptées à son usage.
Contactez l’équipe de [78].fr pour échanger sur votre projet
Vous envisagez une création ou une refonte de site web ? C’est peut-être le bon moment pour faire le point sur votre architecture technique et étudier les différentes options.
