Barberin
Le mardi 20 octobre 2026, le projet PHP prévient ses utilisateurs : une mise à jour de sécurité critique sortira le lendemain, à 16 h, heure de Paris. Le mercredi, elle sort. Deux failles notées 9,2 sur 10, qui permettent de prendre la main sur un serveur sans compte ni mot de passe. Le jeudi, le CERT-FR indique avoir connaissance de preuves de concept pour certaines configurations.
Ce mercredi-là, deux commerçants d'Avignon ont chacun un site WordPress chez le même hébergeur. Le premier est sur un hébergement mutualisé. Il n'a rien fait, rien reçu, et son hébergeur s'est chargé du correctif. Le second a pris un VPS il y a deux ans, « pour que ça aille plus vite ». Lui a reçu un mode d'emploi — en ligne de commande.
Ni l'un ni l'autre n'a choisi son hébergement en pensant à ce jour-là. C'est pourtant la seule différence qui a compté.
La vraie question : qui applique le correctif ?
Les comparatifs d'hébergement opposent des puissances : nombre de processeurs, mémoire, espace disque. C'est utile, mais ce n'est pas ce qui sépare un mutualisé d'un VPS. Ce qui les sépare, c'est qui administre le serveur.
Le 21 octobre, OVHcloud l'a écrit noir sur blanc. Son billet consacré aux deux failles s'adresse aux clients de serveurs dédiés et de VPS. Il précise d'emblée que les clients d'hébergement mutualisé recevront automatiquement un PHPLe langage qui fait fonctionner WordPress et la plupart des sites qu'on modifie depuis une interface à jour. Pour les autres, une procédure en quatre étapes, et cette phrase : sur un serveur dédié ou un VPS, l'hébergeur ne touche jamais à votre machine sans votre accord.
Ce n'est pas de la négligence, c'est le contrat. Trois formules, trois réponses :
- Hébergement mutualisé. L'hébergeur administre le serveur et le partage entre de nombreux clients. Il corrige pour tout le monde, au même moment.
- VPSServeur privé virtuel : une part de machine réservée à vous seul, que vous administrez vous-même ou serveur dédié. La machine vous est réservée, l'administration aussi. La documentation d'OVHcloud le dit sans détour : un VPS est « un serveur que vous administrez entièrement ». Configuration, sécurité, maintenance et test des sauvegardes vous reviennent.
- Serveur infogéréAdministré par un prestataire, sous contrat : mises à jour, sécurité, surveillance, sauvegardes. Les ressources vous sont réservées, mais un prestataire l'administre, dans les délais que fixe le contrat.
La taille du serveur n'entre pas dans cette liste. Un VPS peut être plus petit qu'un bon mutualisé ; un dédié peut être infogéré ou non. La seule question qui tranche est celle-ci : le jour où une faille tombe, qui tape la commande ?
Le VPS : plus de puissance, et toute la responsabilité
Voici ce qu'OVHcloud demandait à ses clients VPS ce mercredi : se connecter au serveur, vérifier la version de PHP, sauvegarder, mettre à jour, puis redémarrer les services PHP. L'hébergeur insiste sur ce dernier point. C'est l'étape la plus souvent oubliée, et sans elle l'ancienne version continue de tourner en mémoire.
Rien de tout ça n'est compliqué pour quelqu'un dont c'est le métier. Tout ça est impossible pour quelqu'un qui ne sait pas qu'il doit le faire.
Et le cas le plus délicat n'est pas le dirigeant qui a choisi un VPS en connaissance de cause. C'est celui à qui un prestataire l'a installé il y a quelques années, avec une version de PHP figée au jour de la livraison. Pour les versions antérieures à PHP 7.4, le tableau d'OVHcloud est sans appel : le projet PHP ne publiera pas de correctif.
Un VPS n'est pas un mutualisé plus rapide. C'est un serveur dont vous êtes l'administrateur — que vous le sachiez ou non.
Ce que « illimité » veut dire chez un mutualisé
Le mot revient dans toutes les offres. Il n'est pas mensonger, mais il ne porte presque jamais sur ce qui compte.
o2switch, qu'on recommande souvent pour des sites vitrines, a le mérite de l'écrire clairement. Sa fiche d'offre d'entrée de gamme annonce un espace disque illimité, un transfert mensuel illimité et une bande passante non contrôlée. Et, juste au-dessus, les ressources réellement attribuées : 8 threads de processeur, 16 Go de mémoire, 16 Mo/s d'accès disque.
C'est toute la nuance. Le trafic et le disque coûtent peu à un hébergeur, il peut les laisser ouverts. Ce qui coûte, c'est le calcul : chaque page que PHP fabrique à la demande consomme du processeurLa puissance de calcul du serveur, partagée entre les sites qu'il héberge et de la mémoire. Une page servie depuis un cache ne coûte presque rien. Un panier, une recherche ou l'administration du site coûtent à chaque fois.
Infomaniak, l'autre hébergeur qu'on conseille volontiers, affiche une autre forme d'honnêteté : ses serveurs mutualisés n'utilisent en moyenne que 40 % de leur puissance, pour garder de la marge. C'est ce chiffre-là qu'un « illimité » ne dit jamais. Et c'est lui qui sépare un mutualisé à 3 € d'un mutualisé correct.
Quand changer de palier : des signaux, pas des visites
On vous donnera souvent un seuil en visites par mois. Il ne veut pas dire grand-chose : dix mille visites sur des pages en cache pèsent moins lourd que mille visites sur une boutique où chacun remplit un panier.
Les vrais signaux sont plus simples à repérer :
- L'hébergeur vous écrit pour dépassement de ressources. C'est le seul signal qui ne trompe pas.
- Le site ralentit aux mêmes heures, et seulement à ces heures-là. Lent tout le temps, c'est un autre problème, souvent les images, comme on l'explique dans le diagnostic d'un site lent.
- Il vous faut une technologie que le mutualisé ne propose pas : un cache particulier, un autre langage, un traitement lourd.
- On vous demande des garanties écrites : ressources réservées, isolement complet, taux de disponibilité.
Aucun de ces signaux ne dit « prenez un VPS et administrez-le vous-même ». Ils disent qu'il faut plus de ressources — ce qu'un mutualisé haut de gamme ou un serveur infogéré fournissent sans vous transférer la charge. Infomaniak le conseille d'ailleurs à ses propres clients : commencer par l'hébergement mutualisé, et passer sur un serveur aux ressources réservées le jour où c'est nécessaire.
Même sur un mutualisé, une question à poser
Le mutualisé règle la question du correctif. Il en laisse une autre, que beaucoup de sites traînent sans le savoir : la version de PHP.
Sur la plupart des mutualisés, l'hébergeur corrige les versions, mais c'est vous, ou votre prestataire, qui avez choisi la vôtre. Le sélecteur d'o2switch, par exemple, propose encore des versions qui remontent à PHP 4.4. Un site resté sur une version ancienne n'est pas forcément exposé : Infomaniak indique avoir appliqué le correctif du 21 octobre à toutes ses versions, de 8.5 jusqu'à 7.4. Mais le projet PHP, lui, ne suit plus que les versions 8.2 à 8.5. Et la 8.2 cesse d'être corrigée le 31 décembre 2026.
Un détail rend la vérification délicate. Infomaniak précise que les numéros de version n'ont pas changé, alors que les correctifs ont bien été appliqués. Lire le numéro ne suffit donc pas : il faut savoir ce que l'hébergeur a fait.
Deux gestes pour savoir où vous en êtes :
- Lire la version utilisée. Dans WordPress : Outils → Santé du site → Infos, rubrique Serveur.
- Demander à l'hébergeur si cette version reçoit encore des correctifs, et jusqu'à quand. Une réponse claire et datée est déjà un bon signe.
Le mutualisé a aussi son revers : l'hébergeur met tout le monde à jour en même temps, y compris le jour où la mise à jour ne passe pas. Le soir du 21 octobre, des clients signalaient sur le forum d'OVHcloud des sites en erreur ou des coupures pendant l'intervention. Quelqu'un doit s'en apercevoir avant vos clients — c'est le rôle de la surveillance.
Ce qu'on conseille, selon le site
Pour un site vitrine d'artisan ou de commerçant du Vaucluse, un mutualisé de qualité suffit dans l'immense majorité des cas. Il fait le travail le plus ingrat, corriger le serveur, sans que vous ayez à y penser. C'est exactement ce que vous achetez.
Pour une boutique avec du trafic soutenu, des pointes saisonnières ou un catalogue lourd, un serveur aux ressources réservées se justifie. Mais infogéré, pas livré nu : la puissance supplémentaire ne doit pas arriver avec un métier d'administrateur que personne n'exerce.
Le VPS administré soi-même, enfin, convient à ceux qui ont quelqu'un pour taper les commandes un mercredi à 16 h. Si ce n'est pas votre cas, ce n'est pas votre solution.
C'est ce cadre qu'on applique quand on prend en charge l'hébergement et la maintenance d'un site à Avignon ou à L'Isle-sur-la-Sorgue. D'abord choisir la formule selon l'usage, puis écrire noir sur blanc qui corrige quoi, et dans quel délai. Le même raisonnement vaut pour le logiciel du site lui-même, comme on le détaille à propos du choix d'un CMS.
Vous ne savez pas si votre site tourne sur un mutualisé ou un VPS, ni si quelqu'un l'a corrigé le 21 octobre ? On regarde, et on vous répond en une phrase.
