Faille PHP (php2shell) : que faire en tant qu'entrepreneur ?

Il s'agit de deux vulnérabilités : CVE-2026-109618 et CVE-2026-109619. En les combinant, quelqu'un peut, à distance et sans se connecter, faire tourner son propre code sur le serveur d'un site web. C'est ce qu'on appelle une remote code execution (exécution de code à distance), la catégorie la plus grave qui existe. Les failles ont reçu un score CVSS v4 de 9,2 sur 10, selon Tenable.

Pour vous, en tant qu'entrepreneur, cela signifie qu'une personne qui entre peut modifier votre site, extraire des données clients de votre base de données, rediriger votre boutique en ligne vers une fausse page de paiement ou utiliser votre serveur pour envoyer du spam. La faille ne se trouve pas dans une extension ou un thème, mais dans PHP lui-même. C'est pour cela qu'elle touche autant de sites.

Probablement, si votre site tourne sur PHP et n'a pas encore été mis à jour. Selon Help Net Security, toutes les versions de PHP à partir de la version 5 sont touchées. Cela comprend :

• chaque site WordPress et chaque boutique WooCommerce ;
• les sites sous Joomla, Drupal, PrestaShop, Magento et la plupart des CMS classiques ;
• beaucoup de développements sur mesure en Laravel ou Symfony.

Ne sont pas touchés les sites qui tournent entièrement sur autre chose, comme Shopify, Wix, Squarespace ou un site statique. En cas de doute, vous pouvez le vérifier en dix secondes avec la vérification PHP gratuite de Marketing Scan. Elle envoie une seule requête ordinaire à votre page d'accueil et ne teste jamais la faille.

Trois étapes, dans cet ordre :

1. Envoyez un message à votre webdesigner ou à votre hébergeur. Demandez littéralement : « Notre site tourne-t-il sur PHP, et a-t-il déjà été mis à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ? »
2. Demandez une confirmation avec la version. « On regarde » n'est pas une réponse. Vous voulez voir le numéro de version.
3. Votre site tourne sur PHP 8.1 ou plus ancien ? Dans ce cas, aucune mise à jour de sécurité ne viendra. Prévoyez une mise à niveau vers au moins 8.2, et demandez si le site peut être protégé d'ici là par une règle de pare-feu.

Si vous êtes sur un hébergement mutualisé chez un grand hébergeur belge ou néerlandais, celui-ci gère généralement la mise à jour de PHP de manière centralisée. Demandez quand même : vous voulez l'avoir noir sur blanc.

Le 21 octobre, le Centre pour la Cybersécurité Belgique (CCB) ne signalait encore aucune attaque réussie en Belgique. Cloudflare a toutefois déjà observé les premières tentatives et a activé des règles de pare-feu supplémentaires, rapporte VRT NWS. Aux Pays-Bas aussi, des sites ont été mis hors ligne par précaution, voir le liveblog de la NOS.

L'expérience des failles précédentes de cette ampleur montre que les attaquants scannent automatiquement tout Internet en quelques jours. Attendre de lire des nouvelles d'attaques, c'est souvent trop tard.

En partie. Un pare-feu web peut bloquer des schémas d'attaque connus, et cela fait gagner du temps. Mais Patchstack et Cloudflare sont d'accord : la mise à jour est la seule solution complète. Les attaquants adaptent leurs attaques pour contourner les règles de pare-feu.

Voyez donc un pare-feu comme une porte provisoirement verrouillée, pas comme la réparation. Si vous utilisez déjà Cloudflare, ces règles sont probablement actives pour vous. Demandez à votre webdesigner de le confirmer, et faites faire la mise à jour dans tous les cas.

Pour la plupart des petites entreprises, non, à condition que la mise à jour se fasse aujourd'hui ou demain. De grandes organisations qui traitent des données sensibles, comme des écoles et des hôpitaux, ont choisi de passer hors ligne parce qu'elles doivent vérifier des centaines de systèmes.

Si votre site traite des données sensibles (des paiements en dehors d'un prestataire de paiement externe, des informations médicales ou juridiques) et que votre webdesigner ne peut faire la mise à jour que dans plusieurs jours, mettre temporairement le site hors ligne ou en mode maintenance est un choix raisonnable.