Qu'est-ce que PHP ? Le langage de programmation expliqué

En bref : PHP est un langage de script libre, utilisé surtout pour les applications web. Le code s'exécute sur le serveur, y génère du HTML et n'envoie que le résultat au navigateur. Comme de nombreux CMS, boutiques en ligne et outils internes reposent sur PHP, la version de PHP installée sur le serveur est un facteur de sécurité à part entière, indépendant de la mise à jour du CMS.

Qu'est-ce que PHP ? Une définition en termes simples

Le manuel PHP décrit PHP comme un langage de script très répandu, libre et d'usage général, particulièrement adapté au développement web et pouvant être intégré dans du HTML. Son nom est un acronyme récursif, c'est-à-dire une abréviation qui se contient elle-même : « PHP: Hypertext Preprocessor ».

La différence essentielle avec JavaScript dans le navigateur : le code PHP est exécuté sur le serveur. Le visiteur ne reçoit que le résultat final et ne voit pas le code source. PHP convient donc à tout ce qui doit rester confidentiel, comme les accès aux bases de données, les connexions ou les calculs de prix.

Selon le manuel, PHP a deux grands domaines d'utilisation : les scripts côté serveur pour les sites web et les scripts en ligne de commande, par exemple pour des tâches régulières via Cron. On trouve les deux dans presque toute entreprise qui exploite son propre site web, une boutique en ligne ou un portail clients.

Où se cache PHP dans votre entreprise ?

PHP est rarement visible directement. Il se trouve dans des logiciels que vous connaissez sous un autre nom. Exemples typiques :

• Systèmes de gestion de contenu comme WordPress, TYPO3, Joomla, Drupal ou Contao
• Systèmes de boutique comme Shopware, WooCommerce, Magento ou PrestaShop
• Services internes comme Nextcloud, Moodle, MediaWiki ou Matomo
• Développements sur mesure basés sur des frameworks comme Laravel ou Symfony
• Interfaces web d'équipements et de panneaux d'hébergement

Chacune de ces applications a besoin d'un environnement d'exécution PHP installé, c'est-à-dire du programme qui exécute le code PHP. Cet environnement est un logiciel à part entière, avec ses propres mises à jour. Mettre à jour WordPress ou Shopware ne met pas PHP à jour. Il faut donc consigner dans un inventaire qui exploite quels systèmes, comme le décrit l'article Inventaire de tous les sites web et serveurs.

À quoi ressemble du code PHP ?

Le code PHP se place entre les balises <?php et ?>. Tout ce qui se trouve à l'extérieur est restitué tel quel en HTML. Un petit exemple inoffensif :

<?php
$stunde = (int) date('G');
$gruss  = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
  <body>
    <p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
  </body>
</html>

Le serveur exécute la partie PHP et n'envoie au navigateur que du HTML terminé, par exemple « Guten Tag, heute ist der 25.10.2026 ». La fonction htmlspecialchars() convertit les caractères spéciaux et protège ainsi contre l'injection de HTML. Ces fonctions de protection intégrées expliquent en partie pourquoi un code PHP bien écrit peut être sûr.

De quels éléments se compose un environnement PHP ?

Un site PHP ne se réduit pas au code de l'application. Plusieurs couches fonctionnent ensemble, et chacune demande sa propre maintenance :

La liaison entre le serveur web et PHP s'appelle SAPI (Server Application Programming Interface). Que PHP fonctionne comme module Apache, via PHP-FPM ou en CGI a des conséquences sur l'exploitation et la sécurité. Pour en savoir plus, voir SAPI expliquée et l'article Comment PHP génère une page web.

Pourquoi la version de PHP compte pour la sécurité

Chaque version de PHP n'est maintenue que pendant une durée limitée. Selon php.net, chaque branche bénéficie de deux ans de support actif, puis de deux ans de simples correctifs de sécurité. Ensuite, la branche arrive en fin de vie et ne reçoit plus de mises à jour officielles. Les détails figurent sous Versions de PHP et cycle de publication.

PHP2Shell montre à quel point c'est important. En octobre 2026, deux failles critiques dans PHP lui-même ont été révélées, CVE-2026-109618 et CVE-2026-109619, toutes deux avec un score CVSS v4.0 de 9,2. Elles permettent l'exécution de code malveillant à distance, sans authentification. Elles sont corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour PHP 8.1 et les versions antérieures, il n'existe plus de mises à jour officielles.

Pour les décideurs, trois points en découlent :

1. Une mise à jour du CMS ne comble aucune faille dans PHP. Les deux doivent être mis à jour séparément.
2. Après une mise à jour de PHP, tous les processus PHP doivent être redémarrés, sinon l'ancien code continue de s'exécuter en mémoire.
3. Un correctif ne prouve pas qu'il ne s'est rien passé auparavant. Pour les serveurs restés sans protection, une recherche de traces fait partie de la démarche.

La page Qu'est-ce que PHP2Shell ? explique ce qu'est exactement la faille et qui elle concerne.

Comment PHP SOS aide-t-il concrètement ?

• Recenser le parc : nous déterminons lesquels de vos systèmes utilisent PHP, dans quelle version et dans quel mode d'exécution.
• Clarifier les responsabilités : nous montrons quelles parties votre hébergeur maintient et lesquelles relèvent de vous ou de votre agence.
• Mettre à jour : via le service de correctifs PHP, nous installons les mises à jour, redémarrons tous les processus et documentons l'état obtenu.
• Vérifier après coup : lorsqu'un serveur était accessible sans protection, nous recherchons des traces d'intrusion.

Questions fréquentes

Sources

• Manuel PHP : introduction
• Manuel PHP : histoire de PHP
• php.net : versions prises en charge