PHP corrigé : votre site est-il vraiment sain ? Les vérifications utiles

Votre hébergeur a appliqué un correctif PHP : c’est indispensable, mais cela ne prouve pas que votre site est sain. Un accès, un fichier ou une page malveillante peut déjà avoir été ajouté. Il faut le vérifier avant de restaurer ou de considérer l’incident comme clos.

Piratage WordPress
Lire le guide Voir la désinfection WordPress
Après alerte de sécurité
Faire confirmer le correctif
Chercher les signes utiles
Éviter une restauration risquée

Le message de l’hébergeur est rassurant : PHP a été corrigé. Mais il ne répond pas à la question qui compte : la faille a-t-elle été fermée avant qu’un tiers puisse modifier le site, créer un accès ou déposer un fichier malveillant ?

L’alerte PHP2Shell, corrigée le 21 octobre 2026, concerne PHP : le logiciel qui fait fonctionner WordPress sur le serveur qui héberge votre site. Elle ne vise pas une extension WordPress précise. N’installez donc pas un plugin dans l’urgence : faites d’abord confirmer le correctif, puis vérifiez si le site porte déjà des traces de modification.

Le correctif ferme la faille. Il ne nettoie pas le site.

Quand PHP est concerné, la mise à jour dépend souvent de l’hébergeur. Le correctif doit aussi être suivi d’un redémarrage de PHP ou du serveur web, c’est-à-dire de la machine qui affiche votre site, pour être pleinement actif.

Demandez une réponse écrite et précise : votre offre était-elle concernée ? Le correctif est-il installé ? Le service a-t-il été redémarré ? Une réponse générale sur la sécurité de l’hébergement ne suffit pas. Certaines plateformes avaient déjà indiqué être protégées au moment de leur avis. Avec un autre hébergeur, demandez une confirmation pour votre offre.

Vérifications de sécurité sur un site WordPress après un correctif serveur
La mise à jour de PHP protège le serveur pour la suite. Elle ne dit pas si WordPress a déjà été modifié.

Les signes qui justifient une vérification

Ne partez pas du principe que le site est piraté. En revanche, certains signes demandent de garder une copie de l’état actuel et de faire vérifier le site avant de supprimer ou restaurer quoi que ce soit. Il peut s’agir d’un comportement inhabituel, d’une alerte des moteurs de recherche ou d’un signalement de logiciel malveillant.

Ne supprimez pas les premiers indices

Supprimer tout de suite une page, un utilisateur ou un fichier suspect peut compliquer la vérification. Gardez d’abord une copie des fichiers du site et de sa base de données, c’est-à-dire les informations enregistrées par WordPress. Cette copie ne sert pas à remettre le site en ligne. Elle permet de comparer les changements, de comprendre ce qui s’est passé et d’éviter de laisser l’accès d’origine ouvert.

En cas de doute, ne nettoyez pas au hasard

Si un signe sérieux apparaît, évitez les actions automatiques. Restaurer trop vite peut remettre en ligne une sauvegarde déjà modifiée. Supprimer trop vite peut effacer une trace utile. L’ordre compte : conserver, vérifier, puis corriger.

Checklist de vérification après une alerte de sécurité WordPress
Nettoyer ne consiste pas seulement à retirer ce qui est visible : il faut aussi vérifier les accès et comprendre par où l’intrusion a pu passer.

Quand le risque immédiat est-il traité ?

Le site peut rester en ligne si le correctif côté hébergement est confirmé et si les contrôles ne montrent rien de suspect. Après un nettoyage ou une restauration, vérifiez les pages importantes, le tunnel de commande, les formulaires, les comptes d’administration et les tâches planifiées : ce sont des actions automatiques lancées par le site. Gardez les sauvegardes récentes séparées de la copie conservée pour l’analyse.

Le correctif et le nettoyage ne répondent pas à la même question

Le correctif empêche une faille connue de rester utilisable. Le nettoyage cherche à savoir si elle a déjà servi. L’un ne remplace pas l’autre. Consultez aussi le rapport « Problèmes de sécurité » dans Google Search Console, activez les notifications et surveillez les pages inconnues avec une recherche site:votredomaine.fr. Une demande de réexamen ne vient qu’après la résolution du problème.

Préparer la prochaine alerte sans paniquer

Cette alerte rappelle que la sécurité d’un WordPress ne se joue pas seulement dans son tableau de bord. Le site, les extensions, les sauvegardes, les accès et l’hébergement doivent être couverts. Le plus utile est de savoir qui gère chaque partie et quoi vérifier avant toute restauration.

Checklist de vérification après une alerte de sécurité WordPress

Après l’alerte PHP2Shell d’octobre 2026, ne vous arrêtez pas à « PHP est-il à jour ? ». Demandez si votre offre était concernée, si le correctif est actif et si votre WordPress montre un signe de modification. Fermer la faille est nécessaire. Vérifier ce qui a pu être modifié l’est tout autant : c’est ce qui évite de laisser un accès ouvert ou de restaurer trop vite un site non vérifié.

À lire ensuite

Un pare-feu ne nettoie pas un WordPress déjà compromis

Un pare-feu peut bloquer une nouvelle attaque. Il ne retire pas une redirection pirate, un accès caché ou des pages injectées déjà présentes.

Lire cet article ↗

Besoin d’un avis clair sur votre site ?

Premier échange clair · Priorités concrètes

Je peux vous aider à comprendre la situation, identifier les points importants et définir une intervention adaptée.

Planifier un échange Demander un avis

Premier échange gratuit · Sans engagement · Réponse rapide