Votre site est-il exposé aux failles PHP et Node.js d’octobre 2026 ?
Le 21 octobre 2026, PHP a corrigé deux failles critiques qui permettent de faire exécuter du code à un serveur, et Node.js a publié une série de correctifs. Entrez votre adresse : on regarde ce que votre site montre, comme un navigateur, sans rien tester ni toucher.
Beaucoup de serveurs disent leur version de PHP à qui la demande. C’est cette réponse qu’on lit, rien de plus.
Votre navigateur demande la page d’accueil.
Le serveur répond, et se présente : Apache, PHP 8.1.2.
PHP 8.1 ne reçoit plus de correctif : ce site est exposé.
Mis à jour en PHP 8.4.27, il ne l’est plus.
Une version affichée et dépassée suffit à repérer un site à attaquer.
Mettre PHP à jour corrige la faille. Masquer sa version évite d’être repéré.
Toute version égale ou plus récente, dans sa branche, contient les correctifs du 21 octobre 2026.
Que vérifie cet outil, exactement ?
Il visite une fois votre page d’accueil, comme un navigateur, et lit ce que votre serveur répond : les en-têtes, les cookies, quelques signes dans la page. Si votre serveur affiche sa version de PHP, on la compare aux versions corrigées, et aux paquets corrigés d’Ubuntu et de Debian. Rien n’est testé, rien n’est envoyé à votre site.
Pourquoi la version de Node.js n’est-elle jamais donnée ?
Node.js ne l’affiche jamais aux visiteurs. On peut seulement repérer qu’il est probablement utilisé, et le verdict ne va jamais au-delà de « à vérifier ». La personne qui gère votre site la lit en tapant node -v.
Mon serveur affiche un numéro plus bas que la version corrigée. Suis-je en danger ?
Pas forcément. Ubuntu et Debian corrigent leurs paquets sans changer le numéro de PHP : 8.3.6-0ubuntu0.24.04.13, par exemple, contient les correctifs. On compare donc le paquet entier quand il est visible, et on dit « à vérifier » quand la distribution n’est pas connue.
« Non détecté » veut-il dire que mon site est à l’abri ?
Non. Une technologie peut être cachée, ou tourner ailleurs que sur la page d’accueil (une adresse api., un back-office). Seule la personne qui gère votre serveur peut confirmer les versions installées.
Lecture de exemple.fr
0,0 sLe score se construit.
Une seule visite de votre page d’accueil. Le verdict dit ce que votre serveur laisse voir, jamais plus.