Faut-il mettre mon site hors ligne à cause de la faille PHP ?

Pas parce qu'elles avaient été piratées. Le 21 octobre, le Centre pour la Cybersécurité Belgique (CCB) ne signalait encore aucune attaque réussie en Belgique, rapporte VRT NWS. Il s'agissait de précaution, comme le décrit aussi Techpulse.

Ces organisations ont souvent de nombreux sites et systèmes en même temps, et elles traitent des données sensibles : élèves, patients, dossiers fiscaux. Tout vérifier et tout mettre à jour prend du temps. Passer hors ligne était pour elles le moyen le plus rapide d'écarter le risque en attendant que tout soit contrôlé. Une PME avec un seul site peut souvent régler le problème avec une seule mise à jour.

Envisagez de passer hors ligne ou d'afficher une page de maintenance si au moins une de ces situations s'applique :

• Votre site tourne sur une version vulnérable de PHP et personne ne peut la mettre à jour dans un jour ou deux.
• Vous traitez des données sensibles via votre site, comme des comptes clients, des informations médicales ou juridiques, ou des documents envoyés par vos clients.
• Votre site tourne sur PHP 8.1 ou plus ancien. Aucun correctif ne viendra. Une mise à niveau vers au moins 8.2 peut demander plus de travail qu'une simple mise à jour.
• Vous voyez des signes que quelqu'un est déjà entré, comme des administrateurs inconnus, des redirections étranges ou de nouveaux fichiers que personne ne reconnaît.

Dans ces cas, il vaut mieux rester en ligne :

• votre site ne tourne pas sur PHP, par exemple sur Shopify, Wix ou Squarespace ;
• votre hébergeur ou votre webdesigner confirme, numéro de version à l'appui, que le serveur est déjà à jour ;
• la mise à jour est prévue pour aujourd'hui ou demain et votre site ne traite pas de données sensibles.

Un simple site vitrine sans formulaires court moins de risques, mais n'est pas sûr pour autant. Un attaquant peut toujours le modifier, rediriger les visiteurs ou abuser de votre serveur. La mise à jour reste donc nécessaire. Vous ne savez pas si votre site utilise PHP ? Vérifiez-le avec la vérification PHP gratuite de Marketing Scan.

C'est souvent là que les choses tournent mal. Un mode maintenance via une extension WordPress affiche bien un message propre aux visiteurs, mais cette extension tourne elle-même sur PHP. Le serveur traite donc toujours chaque requête avec la version vulnérable de PHP. Contre cette faille, cela protège peu.

Si vous voulez vraiment passer hors ligne, demandez à votre hébergeur ou à votre webdesigner de le faire au niveau du serveur : une simple page statique qui n'utilise pas PHP. Demandez aussi d'utiliser le code d'erreur 503. Ainsi, les moteurs de recherche savent que votre site est temporairement absent et pas disparu.

Passer hors ligne n'est pas gratuit. Vous ratez des demandes via votre formulaire de contact, des commandes dans votre boutique en ligne et des visiteurs qui vous trouvent via Google. C'est pourquoi il s'agit d'une mesure d'urgence temporaire, pas d'une solution. Convenez à l'avance de qui remet le site en ligne et quand : dès que la version de PHP est mise à jour et contrôlée.

En partie. Cloudflare a observé les premières tentatives d'attaque et a activé des règles de pare-feu supplémentaires, selon VRT NWS. Un tel pare-feu peut freiner les attaques. Mais selon Patchstack, la mise à jour est la seule solution complète.

1. Vérifiez si votre site utilise PHP avec la vérification gratuite ou en le demandant à votre webdesigner.
2. Demandez à votre hébergeur la version exacte de PHP et quand elle sera mise à jour.
3. La mise à jour arrive aujourd'hui ou demain ? Restez en ligne et suivez le dossier.
4. Cela prend plus de temps et vous traitez des données sensibles ? Faites placer une page de maintenance statique au niveau du serveur.
5. Après la mise à jour : remettez le site en ligne et faites vérifier qu'aucun administrateur ou fichier inconnu n'est apparu.