Qu'est-ce que PHP et pourquoi est-il au cœur d'une grande partie du web ?

Je veux juste que le site web fonctionne. Or, derrière une grande partie du Web se cache un langage de programmation vieux de plus de trente ans : PHP.

Nous avons tous récemment appris ce qui se passe s'ils sont dans Vulnérabilités PHP détectéesLe monde entier est en émoi, et à juste titre. Deux failles critiques dans PHP pourraient permettre à des attaquants d'exécuter du code malveillant sur des serveurs distants sans autorisation préalable. Les développeurs ont réagi immédiatement, mais il est peut-être temps de revenir sur ce qu'est PHP, pourquoi une technologie aussi ancienne reste dominante et comment un bug dans un langage de programmation peut compromettre l'ensemble du web.

Qu'est-ce que PHP et que signifie son nom ?

PHP est un langage de programmation principalement destiné à la création de sites web et d'applications web. Son nom est l'abréviation de PHP Hypertext Preprocessor et signifiait à l'origine « Personal Home Page ». De ce seul fait, il est clair que ce langage est né d'un besoin purement pratique : celui de rendre les sites web plus interactifs que de simples textes statiques.

L'origine de ce langage remonte à 1994, lorsque le programmeur dano-canadien Rasmus Lerdorf a développé des outils simples pour suivre les visites sur son site web personnel. Ces outils ont progressivement évolué pour devenir un langage de programmation qui est aujourd'hui l'un des éléments fondamentaux du World Wide Web.

PHP est un langage de script. Cela signifie que le code n'est pas compilé au préalable en un programme autonome, mais lu et exécuté à chaque requête par un service spécialisé appelé interpréteur. Ceci simplifie considérablement le travail du programmeur par rapport aux langages plus complexes, rendant PHP très accessible aux débutants. De plus, il est open source : son code source est disponible publiquement et chacun peut l'utiliser et le faire évoluer gratuitement.

Selon la société de recherche W3Techs PHP était présent sur environ 69,3 % sites web où le langage de programmation côté serveur utilisé pouvait être identifié au 21 octobre 2026. Cela ne représente pas 69,3 % de l'ensemble d'Internet, mais c'est une indication claire de sa prévalence.

Comment fonctionne PHP ?

Le mot clé est « côté serveur ». Lorsque j'ouvre une page web dans mon navigateur, celui-ci envoie une requête au serveur, c'est-à-dire l'ordinateur qui stocke la page et la met à disposition du visiteur. Si la page est écrite en PHP, le serveur transmet d'abord le code à l'interpréteur. L'interpréteur l'exécute, lit les données de la base de données si nécessaire, compile la page finale en HTML et la renvoie au navigateur. HTML est le langage utilisé pour écrire toutes les pages web ; le navigateur peut alors les afficher sous forme de texte, d'images et de boutons. CSS détermine son apparence, tandis que JavaScript permet l'interactivité, comme la gestion des clics, l'ouverture des menus et la mise à jour du contenu.

Le visiteur ne voit donc jamais le code PHP lui-même, mais uniquement le résultat. Ceci est également important du point de vue de la sécurité, car le code contient souvent des données permettant d'accéder à la base de données. Si un attaquant s'empare du code, il obtient également ces données.

Nous insérons le code PHP dans une page web classique, entre les balises </head>. Tout ce qui s'y trouve est exécuté par l'interpréteur, et tout le reste demeure inchangé. C'est cette simplicité qui fut l'une des principales raisons de l'expansion rapide du langage dans les années 1990.

On entend souvent parler de l'acronyme LAMP. Il désigne la combinaison classique du système d'exploitation Linux, du serveur web Apache, de la base de données MySQL et du langage PHP. Il s'agit d'un ensemble d'outils libres qui a alimenté une grande partie du web pendant des décennies et qui continue de le faire aujourd'hui dans de nombreux endroits.

PHP n'est pas seulement un langage pour les sites web simples.

Bien que PHP ait vu le jour à une époque où le web était bien plus simple, ses capacités actuelles dépassent largement son objectif initial. Il permet de développer des boutiques en ligne, des applications métier, des portails utilisateurs, des systèmes de réservation et des interfaces de programmation pour l'échange de données entre différents services.

PHP moderne prend en charge la programmation orientée objet. Le programmeur peut organiser la logique du programme en classes et en objets qui représentent les différents composants de l'application. Il prend également en charge le typage des données, la gestion des exceptions et de nombreux autres mécanismes permettant un code plus structuré et prévisible.

Un programmeur n'a pas à développer toutes les fonctionnalités de A à Z. Des frameworks comme Laravel et Symfony simplifient le développement d'applications complexes. Composer, un gestionnaire de dépendances, joue également un rôle important : il permet aux développeurs d'intégrer des bibliothèques prêtes à l'emploi et de gérer leurs versions.

Sans bases de données, son utilité serait bien moindre.

L'une des principales fonctions de PHP est de connecter les applications web aux bases de données. Lorsque je me connecte à une boutique en ligne, le système doit vérifier mon compte utilisateur. Lorsque je passe une commande, il doit enregistrer les produits sélectionnés, l'adresse de livraison et les informations relatives à la commande. PHP peut interagir avec des systèmes tels que MySQL, MariaDB, PostgreSQL et SQLite pour ce faire.

Pour accéder aux bases de données, PDO est disponible, entre autres. Objets de données PHPIl s'agit d'une interface de programmation permettant d'interagir avec différents systèmes de données. Dans ce cadre, le développeur doit accorder une attention particulière à la sécurité.

Si une application insère par inadvertance des données saisies par l'utilisateur dans une commande de base de données, une vulnérabilité appelée injection SQL peut se produire. SQL est un langage standardisé permettant d'interagir avec les bases de données relationnelles. Un attaquant peut exploiter cette faille pour lire ou modifier des données sans autorisation.

La protection recommandée consiste à utiliser des requêtes préparées, où les données utilisateur sont traitées séparément de la commande elle-même.

Pourquoi PHP est-il si étroitement associé à WordPress ?

Le meilleur exemple de son omniprésence est WordPress, l'un des systèmes de gestion de contenu les plus utilisés sur le web. WordPress repose sur PHP et une base de données. Lorsqu'un rédacteur publie un article, son contenu est enregistré dans une base de données. PHP se charge ensuite de récupérer ce contenu, de vérifier les autorisations de l'utilisateur et de préparer la page que le visiteur consulte.

De même, Drupal et Joomla sont également basés sur PHP, tout comme la boutique en ligne WooCommerce et le logiciel MediaWiki qui alimente Wikipédia. PHP permet aussi la gestion des extensions, des comptes utilisateurs, des formulaires, des boutiques en ligne et de nombreuses fonctionnalités éditoriales. Il est toutefois important de distinguer les vulnérabilités inhérentes à PHP, les bogues de WordPress et les problèmes liés à des plugins spécifiques.

Par exemple, la mise à jour de WordPress n'implique pas nécessairement la mise à jour de PHP sur le serveur. Ce sont deux couches logicielles distinctes qui requièrent une maintenance séparée. Cette distinction est souvent négligée, notamment par les utilisateurs les moins exigeants qui laissent la gestion de leur serveur à leur hébergeur.

Qu’ont révélé les dernières vulnérabilités critiques ?

Les alertes de sécurité, référencées CVE-2026-109618 et CVE-2026-109619, sont particulièrement graves car elles concernent le fonctionnement interne de PHP. CVE est une norme internationale qui désigne les vulnérabilités de sécurité connues du public. Ces deux failles ont obtenu un score CVSS de 9,2, qui évalue la gravité des failles de sécurité sur une échelle de 10.

La première vulnérabilité est liée à une gestion incorrecte de la mémoire lorsque celle-ci vient à manquer pendant le traitement d'une requête. La seconde est due à l'utilisation de données internes associées à une requête précédente après que sa mémoire a déjà été libérée. Dans certaines circonstances, un attaquant pourrait exploiter cette faille pour exécuter du code à distance sans se connecter à l'application.

Dans le cas de PHP, ils mettent spécifiquement en garde contre l'utilisation de mod_php, car une attaque a été démontrée permettant de la déclencher avant même l'exécution du code de l'application web. Cela signifie que même un site web correctement conçu n'est pas nécessairement protégé s'il utilise une version vulnérable de PHP.

PHP perdra-t-il sa position dominante en raison de vulnérabilités ?

PHP n'est ni un outil miracle ni une relique du passé. C'est un langage mature, rapide et largement utilisé qui, grâce à sa simplicité, a ouvert les portes de la programmation web à de nombreux utilisateurs. Mais cette même popularité est aussi son talon d'Achille, car la moindre erreur peut compromettre une grande partie du web. Pour les lecteurs qui gèrent leur propre site web ou boutique en ligne, le message essentiel est donc simple : effectuez des mises à jour régulières et n'attendez pas la première attaque.