Une version de PHP qui a atteint sa fin de vie continue souvent de fonctionner sans le moindre signe visible de problème, ce qui explique pourquoi tant de sites restent dessus bien après la date officielle. Ce silence est trompeur : l'absence de symptôme ne signifie pas l'absence de risque, elle signifie seulement qu'aucune faille connue n'a encore été exploitée sur ce site précis.
Ce que signifie réellement « fin de support »
Chaque version majeure de PHP suit un cycle de vie défini publiquement par le projet : une période de support actif avec nouvelles fonctionnalités, suivie d'une période de support de sécurité uniquement, puis une date de fin de vie après laquelle plus aucun correctif n'est publié, y compris pour des failles critiques découvertes après cette date. Une version en fin de vie reste figée définitivement, pendant que de nouvelles vulnérabilités continuent d'être découvertes dans son code.
Pourquoi ce risque est différent d'un bug classique
Un bug non corrigé reste gênant mais généralement limité. Une faille de sécurité non corrigée dans une version PHP obsolète devient en revanche un risque qui s'aggrave avec le temps, pour plusieurs raisons :
- Les failles découvertes après la fin de support sont documentées publiquement, ce qui les rend facilement identifiables par un attaquant qui cible spécifiquement les versions obsolètes.
- Des outils automatisés scannent en permanence Internet pour repérer les sites encore sur une version PHP vulnérable, sans cibler une entreprise en particulier.
- Un site compromis via cette faille peut servir de point d'entrée vers d'autres sites hébergés sur le même serveur, si l'isolation entre comptes n'est pas suffisante.
Les conséquences concrètes d'une compromission
Au-delà de l'image du site concerné, une compromission liée à une version PHP obsolète peut entraîner :
- L'injection de code malveillant invisible pour le propriétaire du site, mais détecté par les navigateurs ou les moteurs de recherche, qui peuvent alors afficher un avertissement aux visiteurs.
- Le vol de données stockées dans la base de données, y compris des informations clients sur un site e-commerce.
- Une suspension préventive du compte d'hébergement par le fournisseur, le temps de nettoyer le site, pour protéger les autres clients de la même infrastructure.
Pourquoi « ça fonctionne encore » n'est pas un argument valable
Le fait qu'un site tourne sans erreur visible sur une version PHP obsolète ne prouve rien sur sa sécurité : la compatibilité fonctionnelle et la sécurité sont deux questions distinctes. Un code peut parfaitement continuer à s'exécuter sans erreur tout en restant vulnérable à une faille connue et documentée publiquement, qui n'affecte en rien son comportement visible au quotidien.
Le faux sentiment de sécurité d'un site « qui n'intéresse personne »
Beaucoup de propriétaires de petits sites supposent qu'une faille de sécurité ne les concerne pas, faute de données sensibles ou de notoriété suffisante pour intéresser un attaquant. Cette hypothèse ignore la réalité des attaques automatisées à grande échelle, qui ne ciblent pas un site en particulier mais scannent des milliers d'adresses à la recherche d'une version PHP vulnérable, sans distinction entre un grand site marchand et une vitrine modeste. La taille ou la visibilité du site ne joue aucun rôle dans ce type de ciblage automatisé.
Comment savoir si mon site utilise une version de PHP en fin de support ?
La version active est généralement visible dans votre panel d'hébergement. Le calendrier officiel de support de chaque version PHP est publié publiquement par le projet PHP, ce qui permet de vérifier facilement si votre version actuelle a atteint ou approche sa date de fin de vie.
Migrer vers une version récente de PHP suffit-il à sécuriser mon site ?
C'est une étape nécessaire mais pas suffisante à elle seule. La sécurité d'un site dépend aussi des extensions installées, du thème utilisé et des bonnes pratiques de mot de passe, qui doivent tous rester à jour en parallèle de la version PHP du serveur.
Rester sur une version PHP obsolète reste l'une des causes de compromission les plus évitables, puisqu'une solution existe et qu'elle est connue. VSP TECH accompagne la migration vers une version supportée sur ses offres d'hébergement mutualisé, et propose SiteLock pour détecter une éventuelle compromission déjà en cours sur un site resté trop longtemps sur une ancienne version.
