{"id":31994,"date":"2026-10-22T08:34:49","date_gmt":"2026-10-22T06:34:49","guid":{"rendered":"https:\/\/www.thebrokernews.ch\/attention-savez-vous-si-votre-site-web-fonctionne-sous-php\/"},"modified":"2026-10-22T14:56:45","modified_gmt":"2026-10-22T12:56:45","slug":"attention-savez-vous-si-votre-site-web-fonctionne-sous-php","status":"publish","type":"post","link":"https:\/\/www.thebrokernews.ch\/fr\/attention-savez-vous-si-votre-site-web-fonctionne-sous-php\/","title":{"rendered":"ATTENTION : Savez-vous si votre site web fonctionne sous PHP ?"},"content":{"rendered":"
La question n'est pas de savoir si PHP est utilis\u00e9, mais o\u00f9.<\/span><\/div>\n\n\n\n

Deux failles critiques du langage de programmation PHP ont provoqu\u00e9 la mise hors ligne de sites web dans le monde entier, y compris en Suisse. Pour les assureurs, les courtiers et les petites et moyennes entreprises, la question n\u2019est plus de savoir s\u2019ils utilisent PHP, mais o\u00f9. Car la r\u00e9ponse est souvent plus surprenante qu\u2019on ne le pense.<\/strong><\/p>\n\n\n\n

Presque personne en dehors du service informatique ne conna\u00eet PHP, et pourtant une grande partie d\u2019Internet fonctionne gr\u00e2ce \u00e0 ce langage : de WordPress, Joomla, Typo3 et Drupal aux boutiques en ligne, portails clients et outils d\u2019administration internes. \u00c0 lui seul, WordPress alimente environ 400 \u00e0 500 millions de sites web. C\u2019est pr\u00e9cis\u00e9ment cette infrastructure qui a \u00e9t\u00e9 compromise depuis cette semaine. Deux vuln\u00e9rabilit\u00e9s au c\u0153ur du langage, connues sous le nom de \u00ab PHP2Shell \u00bb et r\u00e9f\u00e9renc\u00e9es sous les num\u00e9ros CVE-2026-109618 et CVE-2026-109619, circulent actuellement. Elles permettent aux attaquants d\u2019ex\u00e9cuter \u00e0 distance leur propre code sur le serveur sans avoir \u00e0 se connecter. En clair : prendre le contr\u00f4le de sites web, extraire des bases de donn\u00e9es, acc\u00e9der aux donn\u00e9es des clients et d\u00e9tourner l\u2019infrastructure pour mener d\u2019autres attaques.<\/p>\n\n\n\n

Une fuite qui a d\u00e9clench\u00e9 le compte \u00e0 rebours<\/strong><\/h6>\n\n\n\n
\n

Ce qui est explosif, ce n\u2019est pas seulement la vuln\u00e9rabilit\u00e9 en elle-m\u00eame, mais la succession des \u00e9v\u00e9nements. Le nom \u00ab PHP2Shell \u00bb provient d\u2019un outil d\u2019exploitation ; une capture d\u2019\u00e9cran de celui-ci a fait surface lors d\u2019une fuite le 20 octobre 2026, avant qu\u2019un correctif (destin\u00e9 \u00e0 corriger la vuln\u00e9rabilit\u00e9) ne soit disponible. Les versions corrig\u00e9es ont \u00e9t\u00e9 publi\u00e9es le 21 octobre \u00e0 16 h, heure suisse. Les deux vuln\u00e9rabilit\u00e9s sont not\u00e9es 9,2 selon l\u2019\u00e9chelle CVSS, ce qui est proche du maximum. La situation est d\u00e9sormais grave : le RUS-CERT de l\u2019universit\u00e9 de Stuttgart a signal\u00e9 l\u2019existence d\u2019exploits accessibles au public, a v\u00e9rifi\u00e9 l\u2019un d\u2019entre eux selon ses propres d\u00e9clarations et a fait \u00e9tat d\u2019attaques d\u00e9j\u00e0 observ\u00e9es. Le BSI allemand classe le risque comme exceptionnellement \u00e9lev\u00e9, avec un niveau d\u2019alerte \u00ab 3 \/ Orange \u00bb. <\/p>\n\n\n\n

<\/a><\/p>\n<\/div>\n\n\n\n

La Suisse est en plein c\u0153ur de la tourmente<\/strong><\/h6>\n\n\n\n

Ceux qui pensaient qu\u2019il s\u2019agissait uniquement d\u2019un probl\u00e8me allemand ont rapidement d\u00fb se rendre \u00e0 l\u2019\u00e9vidence. L\u2019Office f\u00e9d\u00e9ral de la cybers\u00e9curit\u00e9 (BACS)<\/a> a class\u00e9 ces deux vuln\u00e9rabilit\u00e9s comme critiques et exhorte tous les exploitants de sites web et de services en ligne \u00e0 installer la mise \u00e0 jour sans d\u00e9lai. Parmi les entit\u00e9s concern\u00e9es figuraient l\u2019h\u00e9bergeur Cyon<\/a>, bas\u00e9 \u00e0 B\u00e2le, et l\u2019Universit\u00e9 de B\u00e2le. L’Universit\u00e9 de Gen\u00e8ve et l’EPFL ont \u00e9galement mis temporairement leurs sites web hors ligne, tout comme divers h\u00e9bergeurs ; le canton de B\u00e2le-Ville a quant \u00e0 lui ferm\u00e9 ses sites web par mesure de pr\u00e9caution. <\/p>\n\n\n\n

Il convient de noter l\u2019observation du BACS, qui va bien au-del\u00e0 du site web d\u2019entreprise traditionnel : PHP est \u00e9galement pr\u00e9sent dans les interfaces administratives, les applications m\u00e9tier internes, les plateformes d\u2019h\u00e9bergement, les conteneurs ou les appliances, et les op\u00e9rateurs ne savent pas toujours qu\u2019un produit utilise PHP en arri\u00e8re-plan. Pour un secteur dont les courtiers, les agences et les portails clients fonctionnent souvent sur des solutions pr\u00eates \u00e0 l\u2019emploi, il s\u2019agit l\u00e0 d\u2019un v\u00e9ritable signal d\u2019alarme. <\/p>\n\n\n\n

Suis-je concern\u00e9 ?<\/strong><\/h6>\n\n\n\n

La r\u00e9ponse honn\u00eate : toute personne qui g\u00e8re son propre site web ou un site lou\u00e9 doit partir du principe que c’est le cas, jusqu’\u00e0 preuve du contraire. Toutes les versions ant\u00e9rieures \u00e0 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ; seules ces quatre versions et toutes celles post\u00e9rieures sont s\u00e9curis\u00e9es. La mani\u00e8re dont PHP est int\u00e9gr\u00e9 au serveur n\u2019a pas d\u2019importance ; l\u2019\u00e9quipe PHP consid\u00e8re qu\u2019Apache avec mod_php pr\u00e9sente le risque le plus \u00e9lev\u00e9. Vous pouvez v\u00e9rifier la version de PHP dans le panneau d\u2019administration de votre h\u00e9bergeur ou en contactant votre service informatique. Mais veillez \u00e0 ne pas tirer de conclusions h\u00e2tives : le BACS souligne que la version majeure \u00e0 elle seule ne permet pas de d\u00e9terminer si un correctif est manquant, car les distributions Linux fournissent leurs propres paquets corrig\u00e9s. <\/p>\n\n\n\n

Les utilisateurs de cr\u00e9ateurs de sites web peuvent se montrer un peu plus sereins. Les sites h\u00e9berg\u00e9s sur des plateformes telles que Shopify, Wix ou Squarespace ne sont g\u00e9n\u00e9ralement pas directement concern\u00e9s, car c\u2019est le fournisseur qui g\u00e8re et met \u00e0 jour les serveurs lui-m\u00eame. Pour les internautes lambda, il n\u2019y a de toute fa\u00e7on pas lieu de prendre des mesures dans l\u2019imm\u00e9diat : la vuln\u00e9rabilit\u00e9 se situe au niveau des serveurs, et non sur les smartphones ou les ordinateurs portables. Vous pourriez toutefois \u00eatre indirectement concern\u00e9 en cas de fuite de donn\u00e9es via un site web non prot\u00e9g\u00e9.<\/p>\n\n\n\n

Que faire d\u00e8s maintenant ?<\/strong><\/h6>\n\n\n\n

\u00c9tape 1 : Contactez votre h\u00e9bergeur, votre prestataire de services informatiques ou votre administrateur syst\u00e8me \u2014 ne leur envoyez pas d’e-mail. \u00c9tape 2 : Effectuez la mise \u00e0 jour. La seule solution compl\u00e8te consiste \u00e0 passer \u00e0 la version PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, puis \u00e0 red\u00e9marrer tous les processus PHP. Ce red\u00e9marrage n\u2019est pas un d\u00e9tail anodin : un processus lanc\u00e9 avant la mise \u00e0 jour continue de s\u2019ex\u00e9cuter avec l\u2019ancien code en m\u00e9moire. De m\u00eame, l\u2019envie instinctive de mettre rapidement \u00e0 jour WordPress et tous les plugins n\u2019est d\u2019aucune aide. Les vuln\u00e9rabilit\u00e9s r\u00e9sident dans PHP lui-m\u00eame ; la mise \u00e0 jour des plugins ou des th\u00e8mes ne r\u00e9sout pas le probl\u00e8me. <\/p>\n\n\n\n

La situation devient d\u00e9licate pour tous ceux qui utilisent encore des technologies obsol\u00e8tes. Le projet PHP ne fournit plus de mises \u00e0 jour pour PHP 8.1 et les versions ant\u00e9rieures ; il ne propose que des r\u00e9troportages minimaux du code source pour les versions 7.4, 8.0 et 8.1, destin\u00e9s aux administrateurs qui compilent eux-m\u00eames PHP. Dans ce cas, BACS recommande de passer \u00e0 une version prise en charge. Et tant que nous y sommes : Selon php.net, PHP 8.2 ne b\u00e9n\u00e9ficiera de mises \u00e0 jour de s\u00e9curit\u00e9 que jusqu\u2019au 31 d\u00e9cembre 2026. Lorsqu\u2019une mise \u00e0 jour n\u2019est pas possible, la seule option, comme le soulignent \u00e9galement les autorit\u00e9s, consiste \u00e0 mettre temporairement le serveur hors ligne. Selon le BACS, un pare-feu d\u2019application web ne suffit pas \u00e0 lui seul.<\/p>\n\n\n\n

La troisi\u00e8me \u00e9tape, souvent n\u00e9glig\u00e9e, consiste \u00e0 v\u00e9rifier si quelqu\u2019un a d\u00e9j\u00e0 acc\u00e9d\u00e9 au syst\u00e8me. Le BACS invite les organisations \u00e0 identifier les syst\u00e8mes affect\u00e9s au-del\u00e0 du simple site web et \u00e0 rechercher des signes d\u2019attaque. Si vous soup\u00e7onnez une compromission, prenez les mesures suivantes : mettez le site web hors ligne, s\u00e9curisez les journaux comme preuves et modifiez tous les identifiants de connexion et les cl\u00e9s.<\/p>\n\n\n\n

La question de l’assurance<\/strong><\/h6>\n\n\n\n

Pour les entreprises disposant d\u2019une cyberassurance, il est judicieux de consulter leur police d\u00e8s maintenant, avant qu\u2019un incident ne survienne. De nombreuses polices subordonnent la couverture \u00e0 la mise en place de mesures de s\u00e9curit\u00e9 appropri\u00e9es et \u00e0 l\u2019application en temps opportun des correctifs pour les vuln\u00e9rabilit\u00e9s connues. Toute personne soup\u00e7onnant une attaque doit en informer son assureur d\u00e8s que possible ; la plupart des assureurs proposent des lignes d\u2019assistance d\u00e9di\u00e9es \u00e0 la gestion des incidents, sp\u00e9cialement con\u00e7ues pour ce type de situations. \u00c0 cela s\u2019ajoutent des obligations l\u00e9gales : les exploitants d\u2019infrastructures critiques doivent signaler les cyberattaques au BACS dans les 24 heures, et lorsque des donn\u00e9es \u00e0 caract\u00e8re personnel sont susceptibles d\u2019avoir \u00e9t\u00e9 compromises, l\u2019obligation de signalement au PFPDT s\u2019applique en vertu de la loi r\u00e9vis\u00e9e sur la protection des donn\u00e9es. Pour les courtiers, cela s\u2019applique doublement : ils exploitent eux-m\u00eames des sites web et des portails, et leurs clients PME attendent des conseils clairs, sans jargon technique \u2014 surtout en ce moment.<\/p>\n\n\n\n

La v\u00e9ritable le\u00e7on<\/strong><\/h6>\n\n\n\n

PHP2Shell n\u2019est pas la premi\u00e8re vuln\u00e9rabilit\u00e9 de cette ampleur, et ce ne sera pas la derni\u00e8re. La le\u00e7on \u00e0 en tirer r\u00e9side moins dans les aspects techniques que dans les aspects organisationnels : si vous ne savez pas quels logiciels sont en cours d\u2019ex\u00e9cution sur quels syst\u00e8mes, vous ne serez pas en mesure de r\u00e9agir en quelques heures en cas de crise. Un inventaire \u00e0 jour de votre propre infrastructure informatique, une r\u00e9partition claire des responsabilit\u00e9s avec votre prestataire de services et un plan d\u2019urgence bien rod\u00e9 ne sont pas des options facultatives : il s\u2019agit de gestion des risques. Les machines ont \u00e9t\u00e9 corrig\u00e9es en un temps record. Quant \u00e0 savoir si elles sont mises \u00e0 jour en temps voulu, cela d\u00e9pend des personnes.<\/p>\n\n\n\n

Binci Heeb<\/p>\n\n\n\n

Voir \u00e9galement : L’assurance cyber conna\u00eet un essor, mais il subsiste des lacunes importantes pour les petites et moyennes entreprises<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Deux failles critiques du langage de programmation PHP ont provoqu\u00e9 la mise hors ligne de sites web dans le monde entier, y compris en Suisse. Pour les assureurs, les courtiers […]<\/p>\n","protected":false},"author":2,"featured_media":31995,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"_price":"","_stock":"","_tribe_ticket_header":"","_tribe_default_ticket_provider":"","_tribe_ticket_capacity":"0","_ticket_start_date":"","_ticket_end_date":"","_tribe_ticket_show_description":"","_tribe_ticket_show_not_going":false,"_tribe_ticket_use_global_stock":"","_tribe_ticket_global_stock_level":"","_global_stock_mode":"","_global_stock_cap":"","_tribe_rsvp_for_event":"","_tribe_ticket_going_count":"","_tribe_ticket_not_going_count":"","_tribe_tickets_list":"[]","_tribe_ticket_has_attendee_info_fields":false,"footnotes":""},"categories":[9546,9547],"tags":[15942,15950,15945,15947,15948,15946,15911,15949,15943,9585],"class_list":["post-31994","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualites","category-generalites","tag-cyberattaque","tag-etapes","tag-fuite","tag-jeu-didactique","tag-obsolete","tag-personnes-concernees","tag-php","tag-question-relative-a-lassurance","tag-sites-web","tag-technique","ownarticle"],"acf":[],"cc_featured_image_caption":{"caption_text":"La question n'est pas de savoir si PHP est utilis\u00e9, mais o\u00f9.","source_text":"","source_url":""},"_links":{"self":[{"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/posts\/31994","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/comments?post=31994"}],"version-history":[{"count":4,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/posts\/31994\/revisions"}],"predecessor-version":[{"id":32000,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/posts\/31994\/revisions\/32000"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/media\/31995"}],"wp:attachment":[{"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/media?parent=31994"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/categories?post=31994"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.thebrokernews.ch\/fr\/wp-json\/wp\/v2\/tags?post=31994"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}