L’essentiel
- Le 21 octobre 2026, PHP a corrigé deux failles critiques permettant, dans certaines conditions, d’exécuter du code sur un serveur sans identifiants.
- Si le site de votre hôtel fonctionne avec WordPress, Joomla ou Drupal, il utilise PHP.
- Mettre à jour WordPress ne suffit pas : c’est PHP, sur le serveur, qui doit être corrigé.
- Demandez une confirmation écrite à votre agence ou à votre hébergeur, puis testez le parcours de réservation.
Le site Internet d’un hôtel doit inspirer confiance, présenter l’établissement et orienter les visiteurs vers la réservation. Sa sécurité dépend aussi de composants techniques que la direction ne voit pas au quotidien.
Le 21 octobre 2026, l’équipe de PHP a publié des correctifs pour deux vulnérabilités critiques, référencées CVE-2026-109618 et CVE-2026-109619. Dans certaines conditions, elles peuvent permettre à un attaquant d’exécuter du code sur un serveur sans disposer d’identifiants (PHP).
Si votre site ou l’une de vos applications utilise PHP, faites vérifier sa situation par le prestataire qui en assure la maintenance.
1. PHP, une technologie souvent invisible pour l’hôtelier
PHP est un langage utilisé côté serveur pour faire fonctionner des sites et des applications web. Il fait notamment tourner WordPress, Joomla et Drupal.
Un hôtel peut donc utiliser PHP sans avoir commandé de développement spécifique : son site vitrine, un portail ou une application peuvent en dépendre.
Cela ne signifie pas que tous les services de l’établissement utilisent la même technologie. Le site, le moteur de réservation et les autres outils peuvent être hébergés et maintenus par des fournisseurs différents. Le premier travail consiste à identifier les services concernés et leurs responsables.
2. Le problème se situe dans PHP lui-même
Les vulnérabilités concernent PHP, le moteur installé sur le serveur. Mettre à jour WordPress, un thème ou une extension ne suffit donc pas à les corriger. Inversement, la mise à jour de PHP ne remplace pas l’entretien du reste du site : chaque composant doit continuer à être suivi.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions plus anciennes (jusqu’à 8.1) ne sont plus maintenues par l’équipe de PHP : il faut vérifier auprès du fournisseur si un correctif existe, ou préparer une migration vers une version suivie. Le numéro de version affiché doit être examiné avec le prestataire, car certains fournisseurs intègrent les correctifs sans changer ce numéro.
3. Pourquoi cette alerte mérite une vérification rapide
Un site qui fonctionne normalement peut néanmoins être vulnérable : l’absence de panne ou de modification visible ne prouve pas qu’une installation est protégée.
Dans son alerte, mise à jour le 27 octobre, le CERT-FR (centre gouvernemental de veille et de réponse aux attaques informatiques) signale des tentatives d’exploitation de ces deux failles et rappelle que seule la mise à jour protège complètement. Il a aussi ajouté une troisième vulnérabilité, CVE-2026-115560, dont l’exploitation suppose une configuration peu courante (CERT-FR).
Pour un hôtel, les conséquences possibles dépendent du service et des accès dont il dispose : indisponibilité, modification du contenu, détournement de liens ou exposition de données accessibles au serveur. Un site vulnérable n’a pas forcément été piraté : corriger la faille et rechercher d’éventuelles traces d’attaque sont deux vérifications distinctes.
4. Les questions à poser à votre agence ou à votre hébergeur
- Notre site ou nos applications utilisent-ils PHP ?
- Les correctifs du 21 octobre ont-ils été appliqués ?
- La version utilisée bénéficie-t-elle encore d’un suivi de sécurité ?
- Qui assure les prochaines mises à jour ?
- Les sauvegardes et leur restauration sont-elles vérifiées ?
- Les fonctions essentielles du site ont-elles été testées après l’intervention ?
Une réponse indiquant simplement que « le site est à jour » ne précise pas forcément l’état de PHP sur le serveur.
5. Tester le parcours client après la mise à jour
Une intervention sur l’environnement technique doit être suivie d’essais : pages principales, formulaires de contact, différentes langues et liens vers la réservation. Selon les fonctionnalités du site, d’autres contrôles peuvent être nécessaires.
Si une mise à jour immédiate est impossible, les mesures temporaires et une éventuelle restriction du service doivent être examinées par le prestataire, à partir des recommandations officielles.
6. Clarifier la maintenance du site de votre hôtel
Cette alerte rappelle l’importance d’un partage clair des responsabilités entre agence web, hébergeur et interlocuteur informatique. Qui suit les alertes ? Qui intervient ? Qui informe la direction ? Qui contrôle le fonctionnement après une modification ?
Chez WILUG, nous aidons les établissements à intégrer ces dépendances au pilotage de leur informatique, en coordination avec les prestataires concernés.
Informations vérifiées le 29 octobre 2026. Les recommandations techniques évoluent : consultez l’alerte du CERT-FR pour sa version la plus récente.
Sources : PHP, annonces de sécurité d’octobre 2026 · CERT-FR, alerte CERTFR-2026-ALE-014
Vous ne savez pas qui maintient l’environnement technique de votre site ? C’est le premier point à clarifier. Parlons-en.