ALERTE SÉCURITÉ : de nouvelles failles PHP mettent les entreprises en danger. La vôtre pourrait aussi être concernée.
Un site internet peut sembler parfaitement normal alors que le logiciel qui le fait fonctionner nécessite une mise à jour de sécurité urgente. Votre page d’accueil se charge, votre formulaire de contact s’affiche et vos clients peuvent consulter vos produits. Rien de tout cela ne prouve que le système derrière est sécurisé.
Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité d’urgence pour corriger deux failles critiques, communément appelées PHP2Shell. Dans certaines conditions, ces failles pourraient permettre à un attaquant d’exécuter du code sur un serveur vulnérable sans se connecter. Imaginez un cybercriminel disposant d’un accès administrateur à votre site et d’un accès complet à vos données.
Pour les chefs d’entreprise, la leçon dépasse un simple langage de programmation : créer un site internet ou une application est une responsabilité. Assurer sa maintenance et sa sécurité tout au long de son utilisation en est une autre.
Qu’est-ce que PHP et que s’est-il passé ?
PHP est un logiciel qui fonctionne côté serveur, utilisé par de nombreux sites et applications, notamment les sites WordPress et les boutiques WooCommerce. Il traite les demandes en coulisses, génère les pages et fait fonctionner les fonctionnalités de votre application. Imaginez votre site comme un restaurant. Le design, c’est la salle à manger, ce que les gens voient. La base de données conserve les informations, vos ingrédients. Et PHP fait tourner la cuisine, là où les plats, ou les données, sont préparés et dressés avant d’être servis en salle.
Un peu de technique maintenant. Continuez à faire défiler si cela vous ennuie. Les deux failles, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, concernent la gestion de la mémoire et de l’état interne des requêtes par PHP. Concrètement, une installation vulnérable peut mal gérer certaines données et permettre ainsi l’exécution de code malveillant.
Le problème se situe dans le moteur d’exécution de PHP lui-même. Mettre à jour un thème, changer un mot de passe administrateur ou installer une extension de sécurité ne garantit pas que l’installation PHP sous-jacente a reçu le correctif.
Votre site pourrait-il être concerné ?
Votre webmaster ou votre hébergeur doit vérifier le logiciel qui fait réellement fonctionner votre site. L’alerte officielle concerne les installations PHP qui traitent des requêtes web dans plusieurs configurations d’hébergement. Un site au design moderne, un certificat SSL ou une offre présentée comme un hébergement infogéré ne répondent pas à cette question.
Un site construit avec une autre technologie peut tout de même partager son infrastructure avec une application PHP, un ancien sous-domaine ou un outil d’administration utilisant PHP. La vérification doit donc couvrir l’ensemble de l’environnement d’hébergement, plutôt que de s’arrêter à la page d’accueil publique.
La bonne question est : « Lesquels de nos services utilisent PHP, et chaque installation en fonctionnement a-t-elle reçu le correctif de sécurité nécessaire ? » Si vous avez un doute, envoyez-nous un message. Nous serons heureux de vous aider.
Quelles pourraient être les conséquences pour votre entreprise ?
Les conséquences possibles dépendent de l’application, de ses droits d’accès et de l’infrastructure qui l’entoure. Une intrusion réussie pourrait mettre en danger bien plus que l’apparence de votre site.
- Interruption de l’activité : les demandes de renseignements, les réservations ou les ventes en ligne pourraient être indisponibles pendant l’analyse de l’incident.
- Exposition d’informations : les données et les identifiants accessibles au service compromis pourraient être menacés.
- Modification du site : les attaquants pourraient modifier les contenus accessibles, ajouter des redirections ou utiliser le site pour diffuser des éléments malveillants.
- Coûts de remise en état : l’investigation, la restauration, le remplacement des identifiants et les interventions de sécurité supplémentaires peuvent mobiliser du temps et du budget.
- Perte de confiance : les clients peuvent hésiter à utiliser un site après avoir rencontré un comportement suspect ou des interruptions.
Ce sont des conséquences possibles !
Que doit faire votre webmaster maintenant ?
1. Identifier toutes les installations PHP concernées
Demandez un inventaire couvrant votre site en ligne, vos sous-domaines, vos sites de test, vos anciennes applications et les outils d’hébergement concernés. Vérifiez le gestionnaire PHP actif et la version du paquet installé pour chaque site. La version PHP utilisée par un outil en ligne de commande peut être différente de celle qui fait fonctionner votre site.
2. Appliquer la mise à jour de sécurité nécessaire
Les versions corrigées publiées par le projet PHP le 21 octobre 2026 sont indiquées ci-dessous. Votre prestataire peut fournir une version corrigée plus récente ou un paquet intégrant un correctif rétroporté. Dans ce cas, demandez l’avis de sécurité du fournisseur confirmant que les failles sont bien corrigées.
| Branche PHP | Version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Pour les branches plus anciennes, votre prestataire doit vérifier si un correctif pris en charge par son fournisseur est disponible ou prévoir une migration vers une version maintenue. « Nous utilisons PHP 8 » n’est pas une réponse suffisamment précise.
3. Confirmer que la mise à jour est réellement active
Installer un paquet ne représente qu’une partie du travail. L’administrateur doit effectuer les redémarrages de services ou le remplacement des processus nécessaires, puis vérifier que l’application en ligne utilise bien le moteur corrigé.
4. Tester les fonctionnalités importantes pour l’entreprise
Après la mise à jour, vérifiez la page d’accueil, les formulaires de contact, les connexions, les réservations, le paiement et les autres fonctionnalités essentielles. Prévoyez une sauvegarde restaurable et un plan de retour arrière, mais ne considérez pas le retour à une version vulnérable comme une solution définitive satisfaisante.
5. Rechercher des signes d’intrusion
Appliquer le correctif ferme la faille connue ; cela n’annule pas une intrusion antérieure. Examinez les journaux concernés et recherchez les fichiers, comptes, processus ou connexions sortantes inhabituels. Des éléments suspects nécessitent une prise en charge de l’incident, pas simplement une nouvelle mise à jour.
Et si votre hébergeur ne peut pas appliquer le correctif immédiatement ?
Les autorités européennes de cybersécurité recommandent d’envisager d’isoler les applications exposées des réseaux publics lorsqu’une correction immédiate n’est pas possible. Toute interruption doit être coordonnée avec les personnes responsables de l’activité de votre entreprise.
Des modifications temporaires de configuration et du filtrage peuvent limiter certaines possibilités d’attaque, mais ne doivent pas être présentés comme une correction complète. Demandez à votre prestataire un plan documenté de réduction de l’exposition, un délai pour appliquer le correctif et une confirmation une fois la correction vérifiée.
Envoyez ces questions à votre webmaster
Merci de confirmer si notre site, nos applications ou notre environnement d’hébergement sont concernés par les failles CVE-2026-109618 ou CVE-2026-109619.
Quelle version de PHP et quel paquet fournisseur sont actuellement utilisés pour chaque site ? Le correctif nécessaire a-t-il été appliqué et activé ? À quelle date cela a-t-il été vérifié ?
Merci de préciser également quelles fonctionnalités ont été testées, si les journaux ont été examinés pour rechercher une activité suspecte et si des actions supplémentaires sont nécessaires.
Une réponse utile précise les systèmes, les versions, les actions et les dates. Une simple assurance que « tout est sécurisé » vous donne peu d’éléments pour juger.
L’approche Meta-Labs : rester responsable après la mise en ligne
Chez Meta-Labs, nous considérons le développement d’un site et sa maintenance comme des responsabilités liées. Une mise en ligne réussie donne à votre entreprise une plateforme fonctionnelle. Tout le restaurant tourne bien au départ, mais vous ne savez jamais quand le chaos peut s’installer en cuisine ou quand les ingrédients peuvent se gâter dans la réserve.
Face à une alerte de sécurité critique, les clients doivent pouvoir attendre une démarche claire : déterminer l’exposition, coordonner les interventions avec les hébergeurs, appliquer le correctif adapté, vérifier l’environnement en fonctionnement et tester les fonctionnalités dont dépend l’entreprise.
Nos propositions de maintenance permettent de définir ces responsabilités : qui gère les mises à jour, ce que couvrent les sauvegardes, comment l’assistance est assurée et quelles vérifications sont incluses. Le périmètre exact doit être écrit, particulièrement lorsque l’hébergement et la maintenance de l’application sont confiés à des prestataires différents.
La sécurité doit se démontrer par un travail documenté, plutôt que par des promesses qu’aucune intrusion ne pourra jamais se produire. Les clients méritent de comprendre ce qui a été vérifié, ce qui a été corrigé et ce qui demande encore une intervention.
La maintenance de votre site protège un actif de votre entreprise
Votre site est souvent le premier endroit où un prospect découvre votre entreprise, demande un devis ou effectue un achat. En prendre soin, c’est aussi prendre soin de ces échanges.
La dernière alerte PHP est une bonne raison de revoir votre organisation en matière de maintenance. Savez-vous qui suit les alertes de sécurité ? Qui met à jour le serveur ? Qui teste le site ensuite ? Qui vous contacte si une activité suspecte apparaît ?
Si ces réponses ne sont pas claires, parlez-en dès maintenant à votre webmaster. Meta-Labs peut vous aider à examiner les besoins de maintenance de votre site, à clarifier les responsabilités et à prévoir le suivi technique nécessaire à votre entreprise.
Parlons de la maintenance de votre site