Le mercredi 21 octobre 2026, des organisations du monde entier ont mis leurs sites hors ligne à cause de deux failles de sécurité critiques dans PHP, le langage de programmation sur lequel tourne notamment WordPress. Aux Pays-Bas, DigiD, MijnOverheid, la Chambre des représentants, l’Autorité de protection des données, RTL Nieuws et Tweakers, entre autres, ont été temporairement inaccessibles. Les sites que nous hébergeons et entretenons sont restés en ligne toute la journée. Ce n’est pas un hasard : c’est exactement pour cela que nous avons construit Verploy, notre propre plateforme de maintenance.

Ce qui s’est passé

L’équipe sécurité de PHP a annoncé le 20 octobre une publication de sécurité critique. Il s’agissait de deux failles (CVE-2026-109618 et CVE-2026-109619) avec un score de gravité de 9,2 sur 10. Un attaquant pouvait les exploiter par une simple requête au serveur pour exécuter du code à distance, et du code d’exemple circulait déjà. Le Centre national de cybersécurité (NCSC) a alerté et conseillé de mettre à jour immédiatement ou d’isoler temporairement les systèmes. De nombreuses organisations ont choisi par précaution de passer hors ligne, jusqu’à ce que les versions PHP corrigées (8.2.35, 8.3.36, 8.4.27 et 8.5.12) soient disponibles le 21 octobre.

Ce que Verploy et nous avons fait

Verploy surveille chaque site que nous hébergeons, jour et nuit : quelles versions tournent, si chaque site est accessible et si quelque chose dévie. Le 21 octobre, la plateforme a fait ce qu’elle fait chaque jour, sauf que cette fois ça comptait vraiment.

  • Surveillé dès la première alerte. Nous avons suivi l’annonce de PHP et les communications du NCSC. Pendant ce temps, Verploy gardait un œil permanent sur tous les sites clients : disponibilité, sécurité et comportements anormaux.
  • Corrigé le 21 octobre, sans interruption. Dès que les versions PHP corrigées ont été disponibles, nos serveurs dans l’UE ont été mis à jour le jour même. Verploy a ensuite vérifié site par site que tout fonctionnait encore, pour que nous n’ayons pas à deviner.
  • Contrôlé pour toute exploitation. Avec les données de Verploy et nos journaux de serveur, nous avons contrôlé chaque site client : aucune intrusion, aucune attaque et aucune exploitation de la faille constatée.
  • Tout est resté en ligne. Aucun site que nous hébergeons n’a été hors ligne, pas même pendant l’application du correctif. Pour nos clients et leurs visiteurs, il ne s’est rien passé.

Pourquoi cela a fait la différence

Beaucoup d’organisations ont dû choisir entre deux maux : laisser un site vulnérable en ligne, ou le mettre hors ligne jusqu’à l’installation de la mise à jour. Qui n’a aucune visibilité sur ce qui tourne sur le serveur et sur la bonne application d’une mise à jour n’a pas d’autre choix que de débrancher. Verploy supprime précisément cet angle mort : nous avons vu ce qui tournait, nous avons vu la mise à jour réussir et nous avons vu chaque site continuer de fonctionner. C’est pourquoi, le 21, nous avons pu faire ce que d’autres ne pouvaient pas : mettre à jour sans passer hors ligne.

Ce que cela signifie pour vous

Si votre site est hébergé et entretenu chez nous, vous n’avez rien à faire. Votre site tourne sur un serveur à jour, est surveillé par Verploy et reçoit chaque nuit une sauvegarde chiffrée. À la prochaine mise à jour critique, ce sera pareil : une mise à jour contrôlée, sans que votre site tombe.

Votre site était-il hors ligne hier ? Ou vous n’en êtes pas sûr ?

Alors c’est le moment de vous organiser autrement. Nous reprenons des sites WordPress construits ou hébergés ailleurs : nous migrons votre site vers nos serveurs dans l’UE, nous le remettons en ordre techniquement et nous le plaçons sous la surveillance de Verploy. Hébergement à partir de 7,50 € et maintenance à partir de 19 € par mois (HT), sans contrat long.

Voici comment nous procédons :

  1. Audit gratuit du site. Laissez ci-dessous l’adresse de votre site. Vous recevrez par e-mail un rapport court et personnalisé : votre site tourne-t-il sur une version PHP sûre, qu’en est-il de la vitesse et de la visibilité, et quelles sont les trois améliorations à plus fort impact.
  2. Entretien-conseil gratuit. 30 minutes, en personne ou en visio, pour discuter de ce qu’un changement signifie pour vous.
  3. Migration sans tracas. Nous migrons votre site, testons tout et activons la surveillance. Vous ne remarquez rien, sinon que c’est réglé ensuite.

Réserver un entretien-conseil gratuit   

Vous préférez appeler ? +31 (0)166 700204, lun–ven 9h00–17h30.

Sources : Tweakers – PHP corrige deux failles critiques après la mise hors ligne de sites dans le monde entier · Gouvernement néerlandais (Rijksoverheid)