Ce qu'OVHcloud a fait le 21 octobre
Au soir du 21 octobre, OVHcloud annonçait sur sa page de statut des règles de pare-feu applicatif déployées sur ses clusters d'hébergement mutualisé et une campagne de maintenance en cours, d'après le relevé de Clubic à 18 h 25. C'est une protection provisoire : elle filtre une partie des requêtes malveillantes, elle ne corrige pas PHP. Un message de la communauté OVHcloud signalait le même jour un site encore en PHP 8.5.7 alors que la 8.5.12 était disponible. Autrement dit, la mise à jour des serveurs se fait par vagues, et vous ne saurez qu'elle est passée qu'en regardant le numéro de version de votre propre hébergement.
Où voir la version de PHP de votre hébergement OVH
Dans l'espace client OVHcloud, ouvrez Web Cloud, puis Hébergements, et sélectionnez votre hébergement. Dans l'onglet Informations générales, la ligne Version PHP globale indique la version choisie pour l'ensemble de l'hébergement.
Deux précisions qui comptent. D'abord, cette version « globale » peut être contournée dossier par dossier par un fichier `.ovhconfig` placé dans un sous-dossier : si votre site est dans un sous-répertoire, c'est la version de ce fichier-là qui s'applique. Ensuite, le numéro affiché est une branche, 8.1 ou 8.3 par exemple, pas le numéro exact du correctif. Sur WordPress, le numéro exact se lit dans Outils, puis Santé du site, onglet Infos, rubrique Serveur.
Changer la version depuis l'espace client
Toujours dans Informations générales, repérez le cadre Configuration. À droite de Version PHP globale, cliquez sur le bouton …, puis sur Modifier la configuration. Choisissez Modifier la configuration courante, sélectionnez la version voulue, cliquez sur Suivant, puis sur Valider. Le changement se propage en quelques minutes.
Si le bouton Modifier la configuration est grisé, une vérification de version est en cours de leur côté. C'est le cas pendant les campagnes de maintenance comme celle du 21 octobre : patientez quelques minutes et réessayez, inutile de recharger dix fois.
Changer la version avec le fichier .ovhconfig
Pour ceux qui préfèrent le FTP : le fichier `.ovhconfig` est présent par défaut à la racine de l'espace de stockage de votre hébergement. La ligne `app.engine.version=8.1` fixe la version de PHP, à condition que `app.engine=php` soit présent. Pour PHP 7.4 et toutes les versions supérieures, l'environnement doit être `container.image=stable64`. Remplacez le numéro par 8.3 ou 8.4, enregistrez, et le résultat est le même qu'un changement depuis l'espace client. Attention aux hébergements anciens qui ont accumulé plusieurs `.ovhconfig` dans des sous-dossiers : des fichiers en conflit donnent des comportements difficiles à comprendre, et c'est la première chose que je regarde quand un client me dit que « le changement ne fait rien ».
Quelle version choisir
PHP 8.3 ou 8.4 : le bon choix pour un site WordPress, WooCommerce ou un outil récent. Les versions corrigées sont 8.3.36 et 8.4.27, et ces branches reçoivent des correctifs de sécurité jusqu'en 2027 et 2028. OVH propose les deux dans l'environnement Stable64, ainsi que la 8.5.
PHP 8.2 : corrigée aussi, en 8.2.35, mais la branche s'arrête le 31 décembre 2026. Vous aurez à refaire la manœuvre dans deux mois.
PHP 8.1, 8.0, 7.4 : aucune version officielle corrigée. Si votre site y est encore, le changement de branche n'est plus une option, c'est la mise à jour de sécurité elle-même. Avant de monter, vérifiez que votre CMS accepte la version cible : WordPress fonctionne de 7.4 à 8.5 avec 8.3 recommandé, PrestaShop dépend de sa propre version, et c'est souvent une vieille extension ou un vieux thème qui bloque, pas le CMS.
Vérifier que le correctif est bien installé
Changer de branche ne suffit pas : il faut que le numéro complet soit au niveau du correctif. Les numéros à voir apparaître sont 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Si votre hébergement affiche 8.3 mais que la page phpinfo ou Santé du site de WordPress indique 8.3.35, la campagne d'OVH n'est pas encore passée sur votre serveur. Relancez l'outil de vérification le lendemain, ou regardez l'en-tête X-Powered-By quand il est affiché. Et un numéro ancien ne prouve pas à lui seul la faille : dans le doute, demandez à OVH par écrit si le correctif est appliqué sur votre cluster.
Si le site casse après le changement
Ça arrive, surtout en passant de 7.4 ou 8.0 à 8.3 : une extension qui utilise une fonction supprimée, un thème qui n'a pas été mis à jour depuis des années. Le réflexe : revenir à la version précédente par le même menu, le temps de mettre à jour l'extension ou le thème fautif, puis remonter. Mieux : tester d'abord sur une copie du site, et faire une sauvegarde hors du serveur avant de toucher à quoi que ce soit. Une page blanche après le changement se lit dans les journaux d'erreurs de l'hébergement, dans l'espace client.
Et si vous ne voulez pas y toucher
C'est le genre d'intervention que je fais à distance en une heure pour un site simple, une demi-journée pour une boutique avec beaucoup de modules : sauvegarde, test sur une copie, changement de version, vérification du correctif, test de l'accueil, de l'administration et d'un paiement, puis un compte rendu écrit. Écrivez-moi avec le lien de votre site, je réponds sous 24 heures. Les mêmes guides existent pour o2switch et IONOS.
Sources : guide OVHcloud « Hébergement web : environnement, version PHP, .ovhconfig », relevé des hébergeurs par Clubic le 21 octobre à 18 h 25, versions corrigées sur php.net.
