Outil gratuit
Votre site est-il exposé à la faille PHP ?
Le 21 octobre 2026, PHP a corrigé en urgence deux failles critiques, déjà exploitées, qui permettent de prendre la main sur un site sans mot de passe. Tapez l'adresse de votre site : nous regardons ce qu'il montre de lui-même et nous vous disons quoi faire. Gratuit, sans inscription ; nous n'enregistrons pas l'adresse testée.
Comment fonctionne ce test ?
Notre serveur ouvre la page que vous indiquez, une seule fois, exactement comme le ferait votre navigateur. Il lit ce que votre site annonce de lui-même : la version de PHP s'il l'affiche, un cookie de session PHP, le logiciel qui le fait tourner (WordPress, Joomla, Drupal, PrestaShop, Wix, Shopify…). Puis il compare la version aux versions corrigées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou une révision plus récente de la même série (8.4.28, par exemple).
Il ne tente jamais d'attaque, n'essaie aucune adresse cachée et n'enregistre rien : le résultat reste une minute en mémoire, le temps d'éviter les tests répétés, puis disparaît. C'est aussi pour cela qu'il ne peut pas tout savoir : un site qui cache sa version sort « à vérifier », et nous vous disons où regarder.
Pourquoi un vieux numéro n'est pas toujours une mauvaise nouvelle
Certains hébergeurs et certaines distributions (Ubuntu, CloudLinux, Red Hat…) corrigent la faille sans changer le numéro de version affiché. Le test reconnaît les paquets corrigés d'Ubuntu ; pour les autres, seul votre hébergeur peut confirmer. Demandez-lui une réponse écrite : « le correctif des failles CVE-2026-109618 et CVE-2026-109619 est-il appliqué sur mon hébergement ? ».
Et ensuite ?
Si votre site sort « à traiter » ou « à vérifier », notre guide explique quoi faire selon votre hébergement. Vous préférez qu'on regarde avec vous ? Nous le faisons gratuitement, en vingt minutes, et nous vous disons honnêtement si une mise à jour suffit.