PHP hors support : l’angle mort des sites en .fr

PHP est le langage qui fait tourner une large part des sites, à commencer par tous les WordPress. Comme tout logiciel, chaque version reçoit des correctifs de sécurité pendant une durée fixée à l’avance, puis plus rien. Au moment de notre relevé, seules les versions 8.2 et suivantes étaient encore maintenues. Tout ce qui est antérieur vit avec ses failles connues, sans espoir de correctif.

des sites PHP qui affichent leur version sont hors support

44,5 %

des sites PHP qui affichent leur version sont hors support

Citer ce chiffre

sites actifs concernés, au minimum

239 000

sites actifs concernés, au minimum

Citer ce chiffre

au 1 janvier 2027, quand PHP 8.2 sortira à son tour du support

58,5 %

au 1 janvier 2027, quand PHP 8.2 sortira à son tour du support

Citer ce chiffre

Les versions en production

Sur les 1 181 987 sites actifs qui tournent en PHP, 45,5 % annoncent leur version. Leur répartition est sans appel : la version la plus répandue après 8.3 est PHP 7.4, sortie du support en novembre 2022, avec 16,5 % des sites. Et l’on trouve encore des dizaines de milliers de sites en PHP 5, dont la dernière version n’est plus corrigée depuis le 31 décembre 2018.

La faille du 21 octobre 2026, vue depuis le terrain

Le 21 octobre 2026, le projet PHP a publié en urgence un correctif pour deux failles critiques (CVE-2026-109618 et CVE-2026-109619) permettant d’exécuter du code à distance, sans authentification. Toutes les installations qui servent des pages web sont concernées. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; pour 8.1 et les branches antérieures, le projet ne publie plus de version, et renvoie vers les distributions et fournisseurs de support étendu.

Notre relevé a commencé deux jours plus tard. Il ne mesure donc pas un abandon, mais la vitesse à laquelle un correctif critique atteint réellement les serveurs. Seule une version exacte, du type 8.3.36, permet de trancher : 233 505 sites actifs l’affichent.

des sites sur une branche maintenue n’avaient pas encore le correctif

30,5 %

des sites sur une branche maintenue n’avaient pas encore le correctif

Citer ce chiffre

sites sur une branche sans version corrigée officielle (8.1 et antérieures)

79 000

sites sur une branche sans version corrigée officielle (8.1 et antérieures)

Citer ce chiffre

des sites à version exacte visible affichent une version non corrigée

54,2 %

des sites à version exacte visible affichent une version non corrigée

Citer ce chiffre

• Version corrigée
• Version non corrigée

PHP 8.5

81,0 %

19,0 %

PHP 8.4

89,9 %

PHP 8.3

66,9 %

33,1 %

PHP 8.2

56,9 %

43,1 %

PHP 8.1

100,0 %

PHP 8.0

100,0 %

PHP 7.4

100,0 %

Base : 233 505 sites actifs dont la version exacte est visible. Les branches 8.1 et antérieures n’ont aucune version corrigée officielle.

Deux précisions pour lire ce tableau. D’abord, l’avis du projet PHP le rappelle : certaines distributions et certains fournisseurs de support étendu rétroportent les correctifs dans leurs propres paquets, sans que le numéro de version affiché change. Une partie des sites comptés comme non corrigés l’est donc peut-être. Ensuite, pour les branches 7.4, 8.0 et 8.1, l’équipe PHP n’a fourni que des correctifs à compiler soi-même, et rien pour les versions plus anciennes : aucune version officielle corrigée n’existe pour elles.

Pour savoir où en est votre site, la question à poser à votre hébergeur ou à votre prestataire tient en une ligne : le PHP qui sert mon site intègre-t-il les correctifs du 21 octobre 2026 ?

Une échéance dans deux mois

Le tableau va encore se dégrader sans que personne ne touche à rien : PHP 8.2 perd son support de sécurité le 31 décembre 2026. Ce jour-là, 75 405 sites supplémentaires basculeront hors support, et la part atteindra 58,5 %. Un site mis en ligne proprement il y a deux ou trois ans, et jamais touché depuis, sera dans ce cas.

• Support terminé au relevé
• Encore maintenue
• Taille du point : nombre de sites actifs

Relevé

PHP 8.5

47 099

PHP 8.4

68 392

PHP 8.3

107 633

PHP 8.2

75 405

PHP 8.1

31 223

PHP 8.0

38 608

PHP 7.4

88 511

PHP 7.0 à 7.3

46 024

PHP 5.6 et antérieures

34 805

2018202020222024202620282030

Dates de fin de support publiées par le projet PHP. Base : 537 700 sites actifs dont la version de PHP est visible.

Qui est concerné

Sans surprise, WordPress représente 65,0 % des sites en PHP hors support. Ce n’est pas WordPress qui est en cause : le CMS se met à jour de lui-même, et l’immense majorité des installations sont à jour (voir le volet technologies). La version de PHP, elle, dépend de l’hébergement, et personne ne la change tant que le site s’affiche.

1. WordPress 65,0 % (155 450)
2. sans CMS détecté 27,3 % (65 221)
3. PrestaShop 3,6 % (8 537)
4. Joomla 2,3 % (5 478)
5. Drupal 0,8 % (1 888)
6. SPIP 0,2 % (496)
7. Contao 0,1 % (322)
8. Grav 0,1 % (265)

Base : 239 171 sites actifs en PHP hors support.

Comment lire ces chiffres

Un serveur n’annonce sa version de PHP que s’il est configuré pour le faire. Un hébergement soigné la masque ; les sites qui l’affichent sont donc, en moyenne, moins bien tenus que les autres. Il serait faux d’appliquer 44,5 % à l’ensemble des sites en PHP. Il est en revanche exact de dire qu’au moins 239 000 sites actifs en .fr tournent sur une version qui n’est plus corrigée. Le détail est dans la méthodologie.

Ce que cela change pour vous

Une version de PHP hors support ne fait pas tomber un site du jour au lendemain. Elle le rend vulnérable à toute faille découverte depuis, et elle bloque peu à peu les mises à jour : les extensions récentes exigent un PHP récent, et l’on finit par ne plus rien pouvoir mettre à jour du tout. Plus on attend, plus la marche est haute.

Pour savoir où vous en êtes, demandez à votre prestataire la version de PHP de votre site et sa date de fin de support. Si la réponse tarde, c’est déjà une réponse.