Jason JAKOSommaire
La gérante d'un salon de coiffure nancéien ouvre son site un matin et découvre des publicités pour un casino en ligne à la place de ses tarifs. Elle n'a touché à rien, son mot de passe n'est pas « 123456 » et son site ne reçoit que quelques dizaines de visites par jour. Alors pourquoi lui ?
Oui, un site d'entreprise peut être piraté, et le plus souvent sans qu'on l'ait visé personnellement. Les attaques sont lancées en masse, par des programmes qui testent des milliers de sites à la recherche d'une version d'extension ou de logiciel connue pour être faillible. Cet article regarde ce que montrent les chiffres de 2025, ce que la faille PHP d'octobre 2026 change pour votre site, et les gestes qui réduisent réellement le risque.
Pourquoi WordPress est une cible, et où il cède vraiment
WordPress fait tourner 39,5 % de tous les sites web selon W3Techs (relevé du 4 novembre 2026), soit 58,2 % des sites dont le système de gestion de contenu est connu. Une telle part en fait une cible rentable : une faille trouvée une fois s'exploite sur des millions de sites.
Pourtant, ce n'est pas le logiciel de base qui cède le plus souvent. Le rapport State of WordPress Security in 2026 de Patchstack (mis à jour le 25 février 2026) analyse l'année 2025 :
| Chiffre 2025 (Patchstack) | Valeur |
|---|---|
| Nouvelles vulnérabilités dans l'écosystème WordPress | 11 334 (+42 % par rapport à 2024) |
| Part située dans des extensions | 91 % |
| Part située dans des thèmes | 9 % |
| Vulnérabilités du noyau WordPress | 6, de faible priorité |
| Sans correctif au moment de la divulgation | 46 % |
| Gravité élevée (attaques automatisées probables) | 17 % |
Trois enseignements pratiques. D'abord, le risque vient des extensions : chaque extension ajoutée est une porte de plus. Ensuite, une mise à jour ne suffit pas toujours, puisque 46 % des failles n'avaient pas encore de correctif quand elles ont été rendues publiques : moins d'extensions, et des extensions réellement maintenues, valent mieux qu'un site chargé « au cas où ». Enfin, le temps de réaction compte : Patchstack indique que, pour les vulnérabilités les plus exploitées, le délai médian avant l'exploitation de masse est de 5 heures, et qu'environ la moitié des failles à fort impact sont exploitées dans les 24 heures. Une mise à jour faite « quand on y pense » arrive souvent après la bataille.
PHP2Shell : l'actualité d'octobre 2026
Le 20 octobre 2026, le projet PHP a annoncé une version de sécurité critique, publiée le lendemain. Elle corrige deux failles d'exécution de code à distance, CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur l'échelle CVSS v4.0. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le projet écrit en substance qu'il n'existe pas de mesure d'atténuation complète et que mettre à jour est le seul choix sûr.
Pourquoi cela concerne un site WordPress ? Parce que les failles touchent PHP, le langage dans lequel WordPress est écrit, et non WordPress lui-même. Le projet PHP décrit pour l'un des modes d'installation (mod_php) un exploit démontré où une requête non authentifiée peut déclencher l'attaque avant même que le code du site ne s'exécute. Recorded Future rapporte que des démonstrations ont visé WordPress, Drupal et Joomla. Le CERT-FR a indiqué dans sa mise à jour du 26 octobre constater des tentatives d'exploitation, et rappelle que seule la mise à jour de PHP protège.
La conséquence est simple et un peu inconfortable : vous pouvez avoir un WordPress parfaitement à jour et un serveur qui ne l'est pas. La version de PHP dépend de votre hébergement. Sur un hébergement mutualisé, c'est l'hébergeur qui la met à jour ; à vous de vérifier qu'il l'a fait. Le CERT-FR liste comme concernées toutes les versions 5.x, 7.x, 8.0 et 8.1, et PHP rappelle que la branche 8.1 et les précédentes ne reçoivent plus de mises à jour du projet. La branche 8.2, elle, atteindra sa fin de vie le 31 décembre 2026.
Ces sources s'arrêtent à fin octobre. Nous ne savons pas, à la date de cet article, combien de sites ont réellement été compromis, et nous ne prétendons pas le savoir.
Les cinq portes d'entrée habituelles
- Des extensions ou un thème non mis à jour, ou abandonnés par leur auteur. C'est la porte la plus fréquente, au vu de la répartition ci-dessus.
- Une version de PHP obsolète chez l'hébergeur. Invisible dans l'interface de WordPress, elle se vérifie dans l'espace d'hébergement.
- Des accès faibles ou partagés. Un mot de passe réutilisé, un compte administrateur commun, l'accès d'un ancien prestataire jamais supprimé.
- Une sauvegarde qui n'a jamais été testée. Elle ne protège pas d'une attaque, mais elle décide du temps de remise en ligne.
- Trop d'extensions installées « au cas où ». Chacune est à maintenir et peut devenir la prochaine faille.
Ce que vous pouvez faire vous-même
| Geste | Fréquence conseillée | Pourquoi |
|---|---|---|
| Mettre à jour WordPress, extensions et thème | Chaque semaine, et sans attendre pour un correctif de sécurité | Les failles les plus exploitées le sont souvent en quelques heures |
| Supprimer les extensions inutilisées | Chaque trimestre | Moins de portes d'entrée |
| Vérifier la version de PHP chez l'hébergeur | Chaque trimestre, et à chaque alerte | PHP2Shell touche le serveur, pas WordPress |
| Faire une sauvegarde hors du serveur et tester sa restauration | Restauration testée au moins une fois par an | Une sauvegarde jamais restaurée n'est qu'une hypothèse |
| Un compte par personne, mot de passe unique, double authentification | À chaque départ ou arrivée | Un accès oublié reste ouvert |
Ces fréquences sont nos recommandations, pas une norme publiée. Elles demandent du temps et un minimum de technique, d'où la question suivante.
Ce que coûte la maintenance chez Boost&Code
Nous affichons nos prix de maintenance, parce qu'un prix qu'on ne voit pas est une objection qu'on ne lève pas. Elle est toujours optionnelle, et les deux paliers ont un engagement de 12 mois.
| Palier | Prix | Ce qui est inclus |
|---|---|---|
| Essentiel | 90 € par mois | Hébergement mutualisé, nom de domaine, certificat SSL, mises à jour du CMS, des extensions et du thème, sauvegardes hebdomadaires (conservées 30 jours), supervision de la disponibilité, restauration en cas d'incident |
| Pro | 190 € par mois | Tout l'Essentiel, plus sauvegardes quotidiennes, préproduction, pare-feu applicatif, optimisation trimestrielle, 1 heure de modifications par mois, support sous 24 heures |
Aucun prestataire, nous compris, ne peut garantir qu'un site ne sera jamais piraté. Ce qu'une maintenance change, c'est la surface d'attaque, le temps de réaction et la capacité à restaurer. Pour comparer avec d'autres offres, la ligne maintenance d'un devis doit dire ce qui est inclus et à quel prix : notre guide pour lire un devis de site internet détaille ce point, et celui sur le choix d'un CMS explique pourquoi un WordPress non entretenu devient vite un risque. Les prix de création sont dans notre guide prix d'un site internet en 2026.
Notre avis
WordPress reste un bon choix pour une entreprise locale, à une condition : que quelqu'un s'en occupe. L'actualité de ce mois le rappelle, avec un maillon (PHP) que le propriétaire du site ne voit même pas. Que ce quelqu'un soit nous, un autre prestataire ou vous-même avec la checklist ci-dessus importe moins que le fait qu'il soit nommé. Un site sans responsable désigné est un site que personne ne mettra à jour.
Si votre site est déjà piraté
- Prévenez votre hébergeur et mettez le site en maintenance plutôt que de supprimer des fichiers au hasard.
- Changez tous les mots de passe : WordPress, hébergement, FTP, base de données.
- Restaurez une sauvegarde antérieure à l'infection, puis mettez tout à jour avant de remettre le site en ligne.
- Consultez la Search Console, qui signale les problèmes de sécurité détectés par Google.
- Si des données personnelles ont pu être exposées, renseignez-vous sur vos obligations auprès de la CNIL.
Si vous créez ou refaites un site, c'est aussi à ce moment que se décide son niveau d'entretien : voyez notre page création de site internet à Nancy.
À retenir
Un site peut être piraté parce qu'il existe, pas parce qu'il est important. Les chiffres 2025 montrent que le risque se concentre dans les extensions et dans le retard des mises à jour, et PHP2Shell ajoute un maillon que l'on oublie : la version de PHP de l'hébergeur. Trois vérifications valent mieux que de l'inquiétude : la liste de vos extensions, la version de PHP, et une sauvegarde que vous savez restaurer.
Sources : Patchstack, State of WordPress Security in 2026 (mis à jour le 25 février 2026) ; W3Techs, Usage statistics of WordPress (novembre 2026) ; PHP.net, Security advisory du 21 octobre 2026 ; CERT-FR, CERTFR-2026-ALE-014 (27 octobre 2026) ; Recorded Future, PHP2Shell (21 octobre 2026).
FAQ express
Un petit site peut-il vraiment intéresser un pirate ?
Oui, parce que la plupart des attaques sont automatisées et ne visent pas une entreprise en particulier. Patchstack classe 17 % des vulnérabilités WordPress découvertes en 2025 comme graves, c'est-à-dire susceptibles d'être exploitées dans des attaques automatisées à grande échelle. Un site oublié est une cible comme une autre.
WordPress est-il moins sûr qu'un autre outil ?
Pas par nature. En 2025, Patchstack n'a recensé que 6 vulnérabilités dans le noyau de WordPress, jugées de faible priorité, contre 91 % des nouvelles vulnérabilités dans les extensions. Le risque vient surtout des extensions installées et de l'entretien du site, pas du logiciel de base.
Dois-je changer d'hébergeur à cause de PHP2Shell ?
Pas forcément. Demandez à votre hébergeur quelle version de PHP sert votre site et si les correctifs du 21 octobre 2026 sont appliqués. PHP indique que la mise à jour est le seul choix sûr. Si l'hébergeur ne sait pas répondre, ou si votre site tourne sur une version qui ne reçoit plus de mises à jour, c'est le moment de la changer.
La maintenance est-elle obligatoire chez Boost&Code ?
Non, elle n'est jamais imposée. Elle démarre à 90 € par mois (palier Essentiel) et 190 € par mois en Pro, avec un engagement de 12 mois. Vous pouvez aussi l'assurer vous-même avec la checklist de cet article, ou la confier à un autre prestataire.
On regarde l'état de votre site, gratuitement
Donnez-nous l'adresse de votre site : on relève ce qui est visible de l'extérieur (version de WordPress, extensions, certificat) et on vous dit s'il y a une urgence. Gratuitement, sans engagement, et sous 48 h.
Demander mon estimation gratuite
