Faille PHP : quel e-mail envoyer à votre webdesigner ?

Téléphoner, c'est possible, surtout si c'est urgent. Mais un e-mail a trois avantages. Vous obtenez la réponse noir sur blanc, avec le numéro de version. Vous avez une preuve que vous avez agi, ce qui est utile si quelque chose tourne mal plus tard. Et votre webdesigner peut transmettre votre question à la personne qui gère réellement le serveur.

Vous ne savez pas si votre site utilise PHP ? Vérifiez-le d'abord avec la vérification PHP gratuite de Marketing Scan. Vous saurez tout de suite si vous avez besoin de cet e-mail.

Utilisez cet e-mail si vous avez vous-même un forfait d'hébergement, par exemple chez un hébergeur belge ou néerlandais.

Objet : Faille PHP CVE-2026-109618 et CVE-2026-109619 : statut de notre site

Bonjour,

Suite aux failles PHP CVE-2026-109618 et CVE-2026-109619 (php2shell), j'aimerais savoir sur quelle version exacte de PHP tourne notre site [votredomaine.be]. A-t-elle déjà été mise à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ? Si ce n'est pas le cas, quand cela sera-t-il fait ? Et si notre site tourne sur une version antérieure à 8.2 : quelles étapes recommandez-vous ?

Merci de répondre en indiquant le numéro de version. D'avance merci.

Utilisez cet e-mail si un webdesigner a construit votre site ou en assure la maintenance.

Objet : Urgent : notre site est-il protégé contre la faille PHP ?

Bonjour,

Le 21 octobre, deux failles critiques dans PHP ont été rendues publiques (CVE-2026-109618 et CVE-2026-109619). Pouvez-vous confirmer si notre site [votredomaine.be] tourne sur PHP, sur quelle version exacte, et s'il a déjà été mis à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ?

Si vous ne gérez pas vous-même le serveur : pouvez-vous vérifier cela auprès de l'hébergeur ? Et pouvez-vous, après la mise à jour, contrôler rapidement qu'aucun administrateur ou fichier inconnu n'est apparu ?

J'aimerais avoir de vos nouvelles aujourd'hui encore. Merci.

Si vous n'avez pas de nouvelles après un jour ouvrable, envoyez cette relance et téléphonez juste après.

Objet : Relance : faille PHP et notre site

Bonjour,

Hier, j'ai demandé si notre site [votredomaine.be] avait été mis à jour pour les failles PHP CVE-2026-109618 et CVE-2026-109619. Je n'ai pas encore reçu de réponse. Comme Cloudflare observe déjà les premières tentatives d'attaque, j'aimerais que ce soit réglé aujourd'hui. Pouvez-vous me dire où en est la situation, ou qui je dois contacter à ce sujet ?

Merci.

Cette dernière phrase sur Cloudflare n'est pas une menace, mais un fait, comme le rapporte VRT NWS.

Une bonne réponse contient :

• un numéro de version exact, par exemple « PHP 8.3.36 », pas seulement « PHP 8.3 » ;
• une date ou une heure à laquelle la mise à jour a été faite ou est prévue ;
• un plan pour les anciennes versions : si votre site tourne sur 8.1 ou plus ancien, il faut une proposition de mise à niveau, car aucun correctif ne viendra selon Help Net Security ;
• la confirmation d'une vérification qui montre qu'il n'y a pas de traces d'intrusion.

Méfiez-vous de ces réponses :

• « On regarde. » Demandez quand, et demandez le numéro de version.
• « WordPress est à jour. » La faille se trouve dans PHP sur le serveur, pas dans WordPress.
• « Nous avons un pare-feu. » Cela aide temporairement, mais selon Patchstack, la mise à jour est la seule solution complète.
• « Votre site est trop petit pour être attaqué. » Les attaquants scannent automatiquement, quelle que soit la taille de votre entreprise.

Si votre site tourne sur PHP 8.1, 8.0, 7.x ou 5.x, envoyez de préférence une question supplémentaire :

« Notre site tourne sur une version de PHP pour laquelle aucun correctif ne viendra. Pouvez-vous faire une proposition pour passer au moins à PHP 8.2, avec une estimation du temps et du coût ? Et le site peut-il être mieux protégé d'ici là, ou doit-il passer temporairement hors ligne ? »