Armageddon sur Internet : 7 sites Web sur 10 viennent de recevoir un signal d'alarme

Mise à jour technique : PHP a publié des correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619 (« PHP2Shell »), deux failles critiques qui pourraient permettre à des attaquants d'exécuter du code à distance sur des serveurs Web sans s'authentifier. Passez à la version 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, redémarrez PHP-FPM ou votre serveur Web, et vérifiez la version que votre site sert réellement, pas seulement ce qu'indique php -v. Tout ce qui tourne sous la version 8.1 ou une version antérieure doit être mis à niveau, pas seulement corrigé.

Ce que cela signifie si vous n'êtes pas technique

PHP est le moteur derrière la plupart des sites Web. Si votre site repose sur WordPress, WooCommerce, Magento ou une application Web sur mesure, il utilise presque certainement PHP, même si vous n'en avez jamais entendu parler.

Cette semaine, des chercheurs ont découvert deux failles graves dans ce moteur. Concrètement, elles pourraient permettre à un inconnu sur Internet de prendre le contrôle du serveur qui héberge votre site Web, sans mot de passe. Le chercheur en sécurité Kevin Beaumont l'a qualifiée de l'une des plus importantes vulnérabilités des dernières années.

La bonne nouvelle, c'est qu'un correctif est disponible. Le hic, c'est qu'il n'est utile que si quelqu'un l'applique réellement. Mettre à jour vos extensions ou vos thèmes ne suffit pas, car le correctif doit être appliqué sur le serveur lui-même.

Qui est touché

En bref : une grande partie d'Internet.

PHP fait tourner environ 7 sites Web sur 10 dont la technologie peut être identifiée. Cela comprend la plupart des sites WordPress, de nombreuses boutiques en ligne ainsi qu'une foule de portails clients et d'outils d'affaires internes.

Toute installation de PHP qui répond à des requêtes Web est touchée. Si votre site Web fonctionne avec PHP, il est donc concerné tant qu'il n'a pas été mis à jour.

Le groupe le plus préoccupant est celui des sites qui tournent sur d'anciennes versions. Seulement 62 % environ des sites PHP utilisent PHP 8. Les autres, soit plus du tiers, utilisent PHP 7 ou une version antérieure, et ces versions ne recevront pas de correctif officiel. Certaines des premières versions de PHP 8 sont dans la même situation. Si votre site a été bâti il y a plusieurs années et que personne ne l'a mis à niveau depuis, il y a de bonnes chances qu'il fasse partie de ce groupe.

Pourquoi c'est important pour votre entreprise

Une faille de sécurité comme celle-ci n'est pas qu'un problème informatique. Si quelqu'un s'introduit dans le serveur derrière votre site Web, ce sont les affaires qui en subissent les conséquences :

• Les données de vos clients, comme leurs noms, leurs adresses courriel et leur historique de commandes, pourraient être exposées.
• Votre site Web pourrait tomber en panne, ou se mettre à afficher des choses que vous n'avez jamais publiées.
• Votre réputation en souffre, car vos clients se soucient peu de savoir quel logiciel était en cause.
• Le reste de vos systèmes pourrait être le prochain visé, puisqu'un site Web compromis est souvent le point de départ d'attaques de plus grande envergure.

Ce que nous avons fait pour nos clients

Pour les entreprises dont nous gérons l'infrastructure, la situation a été réglée dans les minutes qui ont suivi la publication du correctif. Nous l'avons appliqué, nous avons confirmé qu'il était en place et nous avons vérifié qu'il n'y avait rien d'anormal. Nos clients n'ont pas eu à lever le petit doigt, et la plupart n'ont entendu parler de PHP2Shell que lorsque nous leur avons annoncé que tout était déjà réglé.

C'est ainsi qu'une urgence comme celle-ci devrait se vivre : comme un non-événement.

Trois questions à poser cette semaine

Pas besoin d'être technique pour protéger votre entreprise. Posez ces questions à la personne qui s'occupe de votre site Web, qu'il s'agisse d'une agence, d'un hébergeur ou de quelqu'un à l'interne :

1. Tous nos sites ont-ils été mis à jour avec la version corrigée de PHP?
2. Certains de nos sites ou de nos applications tournent-ils sur une ancienne version qui n'a pas reçu le correctif?
3. Qui est responsable de garder nos systèmes à jour à l'avenir?

Si les réponses sont floues, ou s'il n'y a pas de réponse claire à la dernière question, cela vaut la peine d'y regarder de plus près.

La vraie leçon : il est temps de moderniser vos technologies

Ce ne sera pas la dernière urgence du genre. L'IA permet de créer d'excellents logiciels plus rapidement que jamais, mais elle permet aussi de trouver plus rapidement que jamais les faiblesses des vieux logiciels. Les attaquants peuvent désormais analyser un nombre énorme de sites Web en quelques heures, à la recherche précisément du type de systèmes désuets sur lesquels de nombreuses entreprises comptent encore.

Quelques signes que vos technologies auraient besoin d'une mise à jour :

• Votre site Web a été bâti il y a des années et n'a pas été mis à jour de façon importante depuis.
• Personne dans votre équipe ne sait quelle version de quoi que ce soit vous utilisez.
• Les petits changements prennent plus de temps et coûtent plus cher qu'ils le devraient.
• La personne ou l'agence qui l'a bâti n'est plus dans le portrait.

Appliquer le correctif vous permet de passer cette semaine. Des technologies modernes vous permettront de passer la prochaine, en plus d'être plus faciles à sécuriser, plus rapides pour vos clients et plus simples à faire évoluer à mesure que votre entreprise grandit.

Vous ne savez pas où vous en êtes?

Productshop est un studio de logiciels et de produits établi à Montréal. Nous bâtissons des logiciels modernes, gérons des infrastructures et accompagnons les équipes de direction comme conseillers techniques. Nous pouvons vérifier votre site, vous dire clairement si vous êtes exposé et vous aider à planifier le passage à des technologies sécuritaires, rapides et faciles à garder à jour. Écrivez-nous pour une vérification gratuite de vos technologies : hello@productshop.io ou Contactez-nous