Six versions de sécurité WordPress en trois mois et une faille PHP critique le 21 octobre 2026 : la routine mensuelle pour garder un site sûr, et quoi faire s’il est piraté.
Le 17 juillet 2026, WordPress a publié une mise à jour pour corriger une faille critique. Dans les jours qui ont suivi, plusieurs sociétés de sécurité ont confirmé que des pirates l’exploitaient contre les sites pas encore mis à jour, selon l’INCIBE-CERT. Le 21 octobre, c’était au tour de PHP, le langage qui fait tourner WordPress, de corriger deux failles permettant de prendre la main sur un serveur sans mot de passe.
Un site WordPress n’est donc pas un objet qu’on livre puis qu’on oublie. C’est un logiciel qui reçoit des correctifs presque chaque mois. Voici la routine de maintenance que nous appliquons, ce que vous pouvez faire vous-même et ce qu’il vaut mieux confier.
À retenir
- Entre juillet et octobre 2026, WordPress a publié six versions qui corrigent des failles de sécurité, dont deux pour des failles critiques (wordpress.org).
- Le 21 octobre 2026, PHP 8.2 à 8.5 ont été corrigés contre deux failles d’exécution de code à distance (php.net).
- La maintenance tient en cinq gestes : mettre à jour, vérifier PHP, sauvegarder, faire le ménage des accès, surveiller.
En 2026, WordPress a publié six versions de sécurité en moins de trois mois, de juillet à octobre, selon les annonces officielles de wordpress.org. Un site qui n’est pas tenu à jour accumule donc des failles connues et publiées, que n’importe qui peut rechercher.
| Date | Version | Ce que dit l’annonce officielle |
|---|---|---|
| 17 juillet 2026 | WordPress 7.0.2 | Une faille critique et une faille de sévérité élevée |
| 6 août 2026 | WordPress 7.0.3 | Plusieurs correctifs de sécurité |
| 12 août 2026 | WordPress 7.0.4 | Un correctif de sécurité |
| 17 septembre 2026 | WordPress 7.1.1 | 11 correctifs de sécurité |
| 22 septembre 2026 | WordPress 7.1.2 | Une faille critique |
| 6 octobre 2026 | WordPress 7.1.3 | 7 correctifs de sécurité |
| 21 octobre 2026 | PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 | Deux failles d’exécution de code à distance sans authentification |
Un site WordPress repose sur trois couches, et chacune a ses propres failles. Il y a le cœur de WordPress, puis les extensions et le thème, enfin PHP et le serveur. Le cœur se met souvent à jour tout seul pour les petites versions. Les extensions dépendent de vos réglages. PHP dépend de votre hébergeur. Une maintenance sérieuse couvre les trois.
En juillet 2026, la faille corrigée par WordPress 7.0.2 permettait de prendre le contrôle d’un site sans se connecter et sans passer par une extension, selon l’INCIBE-CERT, le centre espagnol de réponse aux incidents. Les attaques observées installaient des portes dérobées, créaient des comptes administrateurs et ajoutaient des extensions malveillantes.
WordPress a d’ailleurs forcé la mise à jour automatique des installations compatibles. Restaient exposés les sites qui ne pouvaient pas la recevoir, par exemple parce que les mises à jour automatiques avaient été coupées. Autrement dit, les sites que personne ne surveillait.
Comment savoir si votre site a été touché ? Plusieurs signes se voient depuis l’administration :
Un site non entretenu ne court pas qu’un risque de piratage. Il ralentit, au fil des extensions et des images ajoutées sans jamais faire de tri.
Notre mesure : en septembre 2026, nous avons repris un site WordPress devenu lent. Le temps de réponse du serveur est passé de 2,5 s à 0,6 s en moyenne sur 49 pages, et le poids des images stockées de 2,1 Go à 0,86 Go. Ce sont des mesures du serveur, pas un classement Google. Le détail est sur notre page WordPress & WooCommerce.
La maintenance mensuelle d’un site vitrine WordPress tient en cinq gestes, dans cet ordre. L’ordre compte : on sauvegarde avant de mettre à jour, et on vérifie après. Les dates et versions citées viennent des annonces de wordpress.org et de php.net.
Faites une sauvegarde complète avant toute mise à jour. Mettez ensuite à jour WordPress, puis les extensions, puis le thème. Laissez activées les mises à jour automatiques des versions mineures du cœur : c’est par elles qu’arrivent les correctifs urgents, comme en juillet. Après les mises à jour, ouvrez l’accueil, une page de service et votre formulaire de contact.
Dans l’administration, le menu Outils puis Santé du site affiche la version de PHP. En octobre 2026, les branches maintenues sont 8.2, 8.3, 8.4 et 8.5. PHP 8.2 ne recevra plus de correctifs après le 31 décembre 2026, et PHP 8.1 n’en reçoit déjà plus. Depuis le 21 octobre, la bonne version est au minimum 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
Ne supposez pas que votre serveur se met à jour seul. Le 22 octobre 2026, nous avons constaté sur nos propres serveurs que la mise à jour automatique du système ne couvrait pas PHP, installé depuis un dépôt séparé. Nous l’avons corrigé le lendemain de l’annonce. Si votre hébergeur gère le serveur, posez-lui la question précisément : quelle version de PHP, et depuis quand.
Une sauvegarde utile contient les fichiers du site et sa base de données, et elle est stockée ailleurs que sur le serveur du site. Si le serveur est piraté ou tombe en panne, une copie posée au même endroit disparaît avec lui. Une sauvegarde qu’on n’a jamais restaurée reste une promesse : testez une restauration de temps en temps.
Supprimez les extensions et les thèmes désactivés : une extension désactivée reste un fichier présent sur le serveur. Revoyez la liste des comptes administrateurs et retirez ceux qui ne servent plus, par exemple d’anciens prestataires. Activez la double authentification pour les administrateurs et désactivez l’éditeur de fichiers intégré à WordPress.
Vérifiez chaque mois que le site répond, que le certificat HTTPS est valide et que le formulaire de contact arrive bien dans votre boîte. Un formulaire peut enregistrer des demandes sans que personne ne reçoive d’e-mail : envoyez-vous un vrai test. Regardez aussi le temps de chargement des pages les plus visitées.
La routine elle-même est courte quand tout se passe bien. Le temps se perd le jour où une mise à jour casse une page, par exemple à cause d’une extension pas encore compatible, et il faut alors savoir revenir en arrière. Trois options s’offrent à vous.
C’est ce que propose notre forfait de maintenance WordPress : hébergement, mises à jour et sauvegardes d’un site vitrine pour 500 MAD HT par mois, sans durée minimale et avec un préavis de 30 jours. Les travaux hors forfait sont facturés 250 MAD HT de l’heure, ou sur devis. Une boutique WooCommerce demande plus de suivi et se chiffre sur devis.
Agissez dans cet ordre, sans tout supprimer dans la précipitation : ce qui reste sur le serveur aide à comprendre comment l’attaquant est entré.
Le nettoyage d’un site déjà piraté n’entre pas dans un forfait de maintenance : chez nous, il se chiffre sur devis, avant la reprise.
Non. Elles couvrent bien les petites versions du cœur, et WordPress a même forcé la mise à jour en juillet 2026 pour les installations compatibles. Mais les extensions, le thème et PHP dépendent d’autres réglages ou de votre hébergeur. Ce sont eux qui risquent de rester en retard.
Oui, c’est pour cela qu’on sauvegarde avant et qu’on vérifie après. Cela peut venir d’une extension pas encore compatible avec la nouvelle version. Avec une sauvegarde récente, on revient à l’état d’avant.
PHP 8.3 ou 8.4, dans leur dernière version : au moins 8.3.36 ou 8.4.27 depuis le 21 octobre 2026. PHP 8.2 reste corrigé jusqu’au 31 décembre 2026 seulement. Si votre site tourne en PHP 8.1 ou plus ancien, une mise à niveau est à planifier.
Chez ROUGUITECH, 500 MAD HT par mois pour un site vitrine, hébergement compris, sans durée minimale. Ce qui est compris et ce qui ne l’est pas est détaillé sur notre page maintenance WordPress.
Votre site tourne sur WordPress et vous ne savez pas quand il a été mis à jour pour la dernière fois ? Demandez la reprise en maintenance : nous commençons par un état des lieux. Pour aller plus loin, lisez aussi WordPress au Maroc : pourquoi (et quand l’éviter) et notre comparatif hébergement .ma ou international.
Audit gratuit + plan d'action concret. Sans engagement, réponse sous 24h.
Demander un Audit Gratuit