Alerte sécurité : la faille qui touche presque tous les sites web (et le seul geste utile)

Chaque semaine, je garde un œil sur ce qui bouge du côté du web pour prévenir les indépendants que j’accompagne avant que ça ne devienne un problème. Cette semaine, l’actualité n’est pas une nouveauté de Google : c’est une alerte de sécurité, et elle est sérieuse. Une faille a été découverte dans la brique qui fait tourner la quasi-totalité des sites internet — très probablement le vôtre aussi.

Avant que le mot « faille » ne vous inquiète, lisez la suite : le plus étonnant, c’est que le bon réflexe n’est pas celui qu’on croit. Dans la plupart des cas, vous n’avez presque rien à faire vous-même. Je vous explique en clair ce qui se passe, pourquoi toucher à votre site ne servirait à rien, et le seul geste vraiment utile.

Ce qui s’est passé : une faille dans le « moteur » des sites

Imaginez votre site internet comme une voiture. Ce que vos visiteurs voient — les pages, les photos, les textes — c’est la carrosserie. Mais sous le capot, il y a un moteur que personne ne voit et qui fait tout fonctionner. Ce moteur porte un nom, PHP, et il équipe l’immense majorité des sites du web. Le vôtre tourne très probablement avec, que vous le sachiez ou non.

Cette semaine, on a découvert que ce moteur avait une faiblesse sérieuse — l’équivalent d’une serrure défectueuse. Une personne mal intentionnée pourrait, en théorie, s’en servir pour entrer là où elle ne devrait pas. Les spécialistes l’ont classée parmi les failles les plus graves possibles : ce n’est pas un petit défaut, c’est le genre d’alerte qu’on traite vite.

Deux précisions, tout de suite, pour ne pas dramatiser. D’abord, un correctif existe déjà : il a été publié dès qu’on a découvert le problème. Ensuite, à l’heure où j’écris, aucune attaque réussie n’a été confirmée : des tentatives ont été repérées, mais personne n’a constaté de site réellement piraté par ce biais. L’enjeu, c’est de colmater avant que ça n’arrive.

Le piège : mettre à jour votre site ne sert à rien

Voici le point le plus important, et le plus contre-intuitif. Face à une alerte de sécurité, le premier réflexe est de se dire « je vais mettre à jour mon site ». C’est louable… mais ici, ça ne change rien.

Pourquoi ? Parce que la faille n’est pas dans votre site. Elle est dans le moteur, un cran en dessous — dans l’immeuble, pas dans votre appartement. Reprenons l’image : vous pouvez repeindre vos murs et changer votre porte autant que vous voulez, si la serrure défectueuse est sur la porte d’entrée de tout l’immeuble, votre travail ne protège rien.

Concrètement : si vous avez un site WordPress, une boutique en ligne ou un outil de statistiques, les mettre à jour ne corrige pas cette faille. Ce sont de bonnes habitudes par ailleurs, mais sur ce problème précis, elles sont inutiles. Le correctif se joue ailleurs.

⚠️ Le piège
« J’ai tout mis à jour, je suis tranquille. » Non. Sur cette faille-là, mettre à jour votre site, vos extensions ou vos modules ne protège de rien. La faiblesse est dans le moteur du serveur, pas dans votre site. Agir au mauvais endroit donne une fausse impression de sécurité — c’est le vrai danger.

Le seul geste utile : un mail à votre hébergeur

Alors, qui peut réparer la serrure de l’immeuble ? Le propriétaire des lieux. Pour votre site, c’est votre hébergeur — l’entreprise sur les serveurs de laquelle votre site est installé (OVH, IONOS, o2switch, votre prestataire…). C’est à lui, et à lui seul, d’appliquer le correctif sur le moteur.

Votre seule action utile tient donc en une phrase : lui demander si c’est fait. Un simple message du type « Bonjour, suite à la faille de sécurité PHP d’octobre, pouvez-vous me confirmer par écrit que mes serveurs ont bien été mis à jour ? » suffit. Beaucoup d’hébergeurs, surtout les grands en formule mutualisée, appliquent ces correctifs automatiquement et de leur côté — il est très possible que ce soit déjà réglé pour vous. Mais une confirmation écrite vaut mieux qu’une supposition.

✅ À faire (et c’est tout)
Envoyez un court message à votre hébergeur pour lui demander la confirmation écrite que vos serveurs sont à jour. Pas besoin de toucher à votre site. Si vous ne savez pas qui est votre hébergeur ni comment formuler la demande, c’est exactement le genre de chose dont je m’occupe pour les sites que je gère.

C’est d’ailleurs ce que je surveille pour mes clients et pour mes propres sites. Sur cette faille précise, j’ai suivi la réaction des hébergeurs : les miens avaient déjà appliqué la mise à jour, et vite — je n’ai eu qu’à vérifier que c’était bien le cas. C’est souvent comme ça que ça se passe sur un hébergement sérieux : le correctif est posé avant même que vous ayez entendu parler du problème. Encore faut-il s’en assurer plutôt que de le supposer.

Faut-il paniquer ? Non — mais c’est un bon révélateur

Soyons clairs pour finir sur ce sujet : il n’y a pas de raison de paniquer. Aucune attaque réussie n’a été constatée, un correctif existe, et pour la plupart des indépendants, l’affaire se règle par un mail à l’hébergeur. D’autres correctifs du même genre pourront sortir à l’avenir — c’est normal, un site vit et doit être tenu à jour — raison de plus pour garder un œil dessus.

Mais cette alerte révèle quelque chose d’utile. Un site internet n’est pas un objet qu’on installe une fois et qu’on oublie : c’est un peu comme une voiture, ça demande un minimum d’entretien et de surveillance. La plupart des gens ne sauraient même pas dire qui est leur hébergeur, ni si leur site est à jour. Ce n’est pas un reproche — c’est simplement que ce n’est pas leur métier. C’est le mien.

En bref, deux autres nouvelles de la semaine

Côté visibilité, deux infos valent le coup d’œil, plus rassurantes.

Les intelligences artificielles ne lisent pas tous les sites de la même façon. Un test mené cette semaine confirme que des assistants comme ChatGPT ou Claude ne « voient » pas le contenu des sites construits entièrement avec certaines technologies à la mode (celles qui affichent le texte seulement après coup). Les sites bâtis proprement, où le texte est présent dès le départ — comme ceux que je construis — restent, eux, parfaitement lisibles. Une raison de plus de se méfier des sites « gadgets » qui privilégient l’effet à la solidité.

Et le trafic venu des IA reste modeste. Une étude portant sur une centaine de sites montre que ChatGPT envoie, pour l’instant, moins de 1 % du trafic qu’apporte Google. Les visiteurs venus de l’IA sont un peu plus « mûrs » (ils passent plus souvent à l’action), mais en volume, Google reste de très loin la source numéro un. La leçon : c’est bien d’anticiper l’IA, mais pas au prix de négliger un bon référencement classique, qui reste le nerf de la guerre.

Si cette semaine devait tenir en une phrase : une alerte de sécurité sérieuse, mais qui, pour vous, se règle par un simple message à votre hébergeur — pas en bricolant votre site. Et, en toile de fond, le rappel qu’un site en bonne santé est un site qu’on surveille, un peu, régulièrement.

C’est précisément ce que je fais pour les indépendants, commerçants et artisans que j’accompagne : je garde l’œil sur ces alertes pour qu’ils n’aient pas à le faire, et je m’occupe du reste. Si vous avez un site un peu négligé, ou simplement un doute sur sa solidité, parlons-en — un regard extérieur ne coûte rien et évite souvent de mauvaises surprises.

Sources

• Faille de sécurité du moteur PHP, octobre 2026 : annonce officielle et correctif du 21 octobre 2026 (projet PHP, php.net), relayés par WordPress.org, PrestaShop et Matomo.
• Niveau de gravité (parmi les plus élevés) et absence d’attaque réussie confirmée à ce jour : alerte du Centre canadien pour la cybersécurité (AL26-026) et Search Engine Journal.
• Les assistants IA et le contenu en JavaScript : test de Glenn Gabe (GSQi, 19 octobre 2026).
• Part du trafic venu de ChatGPT : analyse relayée par Search Engine Land (21 octobre 2026).

Je suis Eric BLM, fondateur de studioBLM. Je conçois des sites internet pensés pour amener de vrais clients aux indépendants, commerçants et artisans — pas des vitrines qu’on admire sans jamais contacter. Je suis au quotidien l’actualité du référencement et de l’IA pour garder une longueur d’avance, et je la traduis ici en langage clair. Basé à Bordeaux, j’interviens en Gironde, dans les Landes et au Pays basque.