PHP

Le langage

PHP est, selon sa propre documentation, « a widely-used open source general-purpose scripting language that is especially suited for web development and can be embedded into HTML ». Le sigle est un acronyme récursif, « PHP: Hypertext Preprocessor ». Le code s'exécute sur le serveur et produit le HTML envoyé au client, ce qui le distingue du JavaScript côté navigateur. La page d'accueil de php.net le présente en une ligne : « A popular general-purpose scripting language that is especially suited to web development. »

L'historique officiel fait naître PHP en 1994 : Rasmus Lerdorf écrit un jeu de binaires CGI en C qu'il nomme « Personal Home Page Tools ». Il en annonce la version 1.0 le 8 juin 1995 sur le groupe Usenet comp.infosystems.www.authoring.cgi, sous le titre « Announce: Personal Home Page Tools (PHP Tools) » : « a set of small tight cgi binaries written in C ». L'annonce est reproduite dans ses propres supports de conférence sur talks.php.net ; le manuel, lui, ne retient que le mois, juin 1995, et renvoie à l'archive du groupe. Andi Gutmans et Zeev Suraski réécrivent l'analyseur en 1997 ; PHP 3.0, annoncé en juin 1998, adopte l'acronyme récursif. Leur « Zend Engine », contraction de leurs deux prénoms, arrive mi-1999 et porte PHP 4.0 en mai 2000. PHP 5 sort en juillet 2004 sur Zend Engine 2.0 avec un nouveau modèle objet ; le projet PHP 6, qui devait apporter l'Unicode au cœur du langage, est abandonné ; PHP 7.0 sort en 2015 sur Zend Engine 3.0, et PHP 8.0 en 2020. PHP 8.5 est publié le 20 novembre 2025.

Le code de PHP est distribué sous la PHP License version 4, que php.net décrit comme identique à la licence BSD modifiée (identifiant SPDX BSD-3-Clause) ; les anciennes PHP License et Zend Engine License sont déclarées obsolètes.

Part du web

Au 21 octobre 2026, W3Techs écrit : « PHP is used by 69.3% of all the websites whose server-side programming language we know. » La restriction compte : le chiffre porte sur les sites dont le langage serveur est identifiable, pas sur l'ensemble du web, et c'est elle que gomment les formules « 70 % des sites » reprises par Wiz et OpenAI lors de PHP2Shell. La part baisse avec la notoriété des sites : W3Techs mesure à la même date 64,5 % du premier million de sites, 61,0 % des 100 000 premiers, 59,7 % des 10 000 premiers et 59,3 % des 1 000 premiers. Parmi les sites PHP, 65,2 % sont en version 8, 27,0 % en version 7 et 7,7 % en version 5.

Cycle de support

Chaque branche de PHP connaît deux périodes, que php.net définit ainsi : « Each release branch of PHP is fully supported for two years from its initial stable release », période pendant laquelle bugs et failles signalés sont corrigés par des versions mineures régulières ; puis « each branch is then supported for two additional years for critical security issues only », avec des publications au besoin, « there may be multiple point releases, or none ». Au 21 octobre 2026, php.net liste quatre branches supportées. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet (fin du support de sécurité le 31 décembre 2025 pour 8.1, le 26 novembre 2023 pour 8.0, le 28 novembre 2022 pour 7.4) ; certaines distributions et éditeurs LTS rétroportent des correctifs. Une version 8.6.0 RC4 était en test le 21 octobre 2026.

• PHP 8.2 : publiée le 8 décembre 2022, support actif terminé le 31 décembre 2024, support de sécurité jusqu'au 31 décembre 2026.
• PHP 8.3 : publiée le 23 novembre 2023, support actif terminé le 31 décembre 2025, support de sécurité jusqu'au 31 décembre 2027.
• PHP 8.4 : publiée le 21 novembre 2024, support actif jusqu'au 31 décembre 2026, support de sécurité jusqu'au 31 décembre 2028.
• PHP 8.5 : publiée le 20 novembre 2025, support actif jusqu'au 31 décembre 2027, support de sécurité jusqu'au 31 décembre 2029.

La PHP Foundation

La PHP Foundation se donne pour mission « to ensure the long-term prosperity of the PHP language » et décrit sa tâche première ainsi : « The primary task of the PHP Foundation is to fund developers to work on PHP. » Elle collecte ses fonds sur Open Collective, avec Open Source Collective comme hôte fiscal, signe des contrats de développeurs qu'elle revoit après six mois, et s'appuie sur un Advisory Board de cinq à dix membres. Chaque automne, elle ouvre les candidatures de contractants pour l'année suivante.

Le 21 octobre 2026, jour de PHP2Shell, elle publie « Today's PHP Security Release, and How We're Strengthening PHP Security ». Son financement a permis, écrit-elle, à plusieurs personnes de travailler à plein temps sur le correctif de la faille OOM, nuits et week-ends compris. Elle rappelle avoir financé l'audit externe de 2024, mené par Quarkslab via l'OSTIF avec le soutien de la Sovereign Tech Agency, et avoir créé en mai 2026 une Ecosystem Security Team : Alexandre Daubois recruté en juillet pour le tri des rapports et les correctifs, Daniel Scherzer en septembre pour le durcissement, Volker Dusch comme AI Security Engineer in Residence. Elle annonce des décisions prises à la majorité, une implication plus précoce de la direction quand un correctif impose des arbitrages difficiles, des outils de validation des rapports et des exploits, des builds avec sanitizers et des environnements de reproduction alignés sur la CI. Elle termine par un appel aux entreprises, hébergeurs, distributions et gouvernements : « Sponsoring the PHP Foundation is the most direct way to ensure structural issues like the OOM vulnerability are addressed sustainably. »

La dette de versions

Les statistiques publiques de WordPress.org, relevées le 21 octobre 2026 vers 16h00 UTC, donnent la répartition des versions de PHP sur les sites WordPress : 26,57 % en 8.3, 23,82 % en 8.2, 10,73 % en 8.1, 9,33 % en 8.4, 16,13 % en 7.4, 3,85 % en 8.0 et 3,85 % en 8.5. Cumulées, les versions antérieures à 8.2, que le projet PHP ne corrige plus, représentent 36,4 % des sites WordPress, dont 16,1 % encore en PHP 7.4, branche sortie du support de sécurité le 28 novembre 2022. Le 21 octobre 2026, Joviane Jardim (Detectify), cité par The Record, estimait qu'environ la moitié des sites PHP tournent sur des versions anciennes. Avec la fin du support de sécurité de PHP 8.2 au 31 décembre 2026, près d'un quart des sites WordPress supplémentaires rejoindront les branches non maintenues s'ils ne migrent pas d'ici là.

PHP2Shell, octobre 2026

Le 21 octobre 2026, le projet PHP publie 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux failles critiques du moteur, CVE-2026-109618 et CVE-2026-109619, notées 9.2 en CVSS v4.0 et regroupées sous le nom PHP2Shell. Elles permettent une exécution de code à distance sans authentification sur toute installation servant des requêtes web (PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed) ; le risque est jugé le plus élevé sur mod_php, où l'exécution de code complète a été validée, et l'avis du projet distingue ce qui est démontré sur PHP-FPM selon la CVE. Vu la gravité, l'équipe de sécurité a publié des backports minimaux en sources pour 7.4, 8.0 et 8.1, hors du cycle de support habituel. La PHP Foundation date les signalements : Calif (Ryan Austin) le 11 août 2026, OpenAI le même jour pour la même cause racine puis le 18 septembre pour d'autres vecteurs, Wiz le 24 août ; tous travaillaient avec des modèles d'IA. La fiche PHP2Shell détaille le mécanisme, la chronologie et les mesures de contournement.

Écosystème

La liste des applications sur lesquelles Sansec a confirmé une exécution de code lors de PHP2Shell donne la mesure de l'écosystème : WordPress, Drupal, Joomla, Magento, MediaWiki, Roundcube, phpMyAdmin, Nextcloud, WHMCS, et les frameworks Laravel et Symfony. Wiz a de son côté travaillé sur les images Docker officielles de WordPress, Drupal et Joomla. Côté exécution, php.net nomme cinq SAPI servant le web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Sur ce site, l'article consacré aux alternatives à WinDev range PHP, avec Laravel et Symfony, parmi les cadres productifs pour les applications de gestion web.