Une étude menée par la société Censys avance un chiffre préoccupant : 70 % des sites WordPress tournent sur une version obsolète de PHP, c’est-à-dire une version qui ne reçoit plus de correctifs de sécurité.
PHP 7.4 toujours en tête
Selon Censys, la version la plus répandue reste PHP 7.4, utilisée par plus de 20 % des sites analysés.
Le problème : PHP 7.4 a atteint sa fin de vie en novembre 2022. Elle n’est plus maintenue depuis près de quatre ans. Concrètement, toute faille découverte dans le langage lui-même depuis cette date reste ouverte sur ces serveurs.
Pourquoi c’est un vrai risque
On a tendance à concentrer les efforts de sécurité sur les extensions et les thèmes, qui concentrent effectivement la majorité des vulnérabilités remontées. Mais une version de PHP non maintenue est une porte d’entrée située en dessous de WordPress : aucune extension de sécurité ne peut la refermer.
S’ajoute un effet secondaire moins dramatique mais bien réel : les performances. Chaque version majeure de PHP apporte des gains significatifs. Passer de PHP 7.4 à PHP 8.3 améliore les temps de réponse sans toucher à une ligne de code.
Que faire concrètement
WordPress recommande PHP 8.3 ou plus récent. Voici la marche à suivre raisonnable :
- Vérifiez votre version actuelle dans Outils > Santé du site > Informations > Serveur.
- Mettez à jour vos extensions, votre thème et le cœur de WordPress avant de toucher à PHP. Une extension abandonnée depuis des années est le premier candidat à la panne.
- Faites une sauvegarde complète, puis testez le changement sur une copie de préproduction si votre hébergeur le permet.
- Basculez la version PHP depuis le panneau de votre hébergeur, puis parcourez votre site et votre administration pour vérifier que tout répond.
Si vous avez besoin d’un pas à pas détaillé, notre guide sur la mise à jour de PHP couvre la procédure chez les principaux hébergeurs.
Notre avis
70 %, c’est énorme, mais ça s’explique. Beaucoup de sites tournent chez des hébergeurs mutualisés bas de gamme où la version PHP par défaut n’a jamais été changée depuis l’installation. D’autres appartiennent à des propriétaires qui ignorent simplement que PHP existe et qu’il faut s’en occuper.
Notre conseil : si vous gérez des sites pour des clients, faites-en un point de vérification systématique dans votre contrat de maintenance. C’est une des interventions au meilleur rapport effort/bénéfice qui existe. Cinq minutes de manipulation, un gain sur la sécurité et sur les performances.
Et si votre hébergeur ne propose pas PHP 8.3, la vraie question n’est plus la version de PHP : c’est l’hébergeur.