Cette semaine, une faille de sécurité très sérieuse a été annoncée dans PHP, le langage sur lequel fonctionne une grande partie des sites web, dont WordPress, Joomla, Prestashop et de nombreux sites sur mesure. Chez Horus, le correctif a été installé sur nos serveurs dès sa publication, sans qu’aucun site n’ait besoin d’être bloqué. Voici, simplement, ce qui s’est passé.
Qu’est-ce que PHP, et pourquoi est-ce important ?
Quand vous consultez un site, le serveur ne se contente pas d’envoyer une page toute faite : un programme y prépare le contenu (articles, panier, formulaires). Pour une très grande partie du web, ce programme s’appelle PHP. S’il a un défaut, tous les sites qui l’utilisent sont concernés, quel que soit leur contenu.
Que s’est-il passé ?
Le 20 octobre, l’équipe de PHP a annoncé qu’elle publierait le lendemain un correctif pour deux failles critiques (référencées CVE-2026-109618 et CVE-2026-109619). Selon l’équipe de PHP, elles pourraient permettre à une personne malveillante d’exécuter ses propres commandes sur un serveur, à distance et sans mot de passe. C’est la catégorie de faille la plus grave : l’attaquant n’a pas besoin de « forcer la porte », il suffit presque de frapper de la bonne manière.
Les détails de ces failles ont fuité avant la publication du correctif, et des attaques ont été signalées par des chercheurs en sécurité. Le correctif officiel est sorti le 21 octobre.
Ce que nous avons fait
- Nous avons installé le correctif dès sa sortie, sur l’ensemble de nos serveurs d’hébergement, pour toutes les versions de PHP que nous proposons à nos clients, y compris les plus anciennes, qui ne sont plus maintenues par le projet PHP.
- Nous avons vérifié que chaque version est bien corrigée et que le nouveau code est réellement en service, car installer un correctif ne suffit pas : il faut aussi redémarrer les services concernés.
- Nous avons contrôlé nos journaux d’activité et les fichiers de nos serveurs à la recherche de signes d’intrusion. Ces vérifications n’ont révélé aucun élément suspect.
Résultat : aucun site n’a été interrompu. Dans ce genre de situation, ce n’est pas toujours possible : selon les versions utilisées et la disponibilité des correctifs, il faut parfois arrêter des sites en attendant.
Notre règle pour la prochaine fois
Si un incident de ce type se reproduit et que nous ne pouvons pas corriger immédiatement, nous suspendrons PHP plutôt que de laisser les sites exposés. Nous partons d’un principe simple : un site momentanément inaccessible vaut mieux qu’un site piraté. Un site hors ligne pendant quelques heures se rétablit en un clic ; un site compromis peut coûter des semaines de nettoyage, la confiance de vos visiteurs et parfois des données.
Un piratage reste confiné à un seul site
L’architecture de notre hébergement est conçue pour que chaque site soit cloisonné. Dans le pire des cas, la compromission d’un site reste limitée à ce site : elle ne peut pas se propager aux autres sites ni à nos infrastructures. Pensez à un immeuble dont chaque appartement a sa propre porte blindée : un cambriolage dans l’un ne donne pas accès aux autres.
Pourquoi vous pourriez recevoir davantage de courriels frauduleux
C’est la partie qui concerne tout le monde, même si vous n’avez pas de site. Beaucoup de sites dans le monde ne seront pas mis à jour à temps : l’hébergeur ne le fait pas, le propriétaire n’y pense pas, ou le site est oublié. Ces sites vulnérables seront probablement pris pour cible.
Un site piraté peut être transformé en « zombie » : il continue de fonctionner normalement, mais le pirate s’en sert en arrière-plan. Des milliers de zombies reliés entre eux forment un botnet, un réseau d’ordinateurs et de serveurs contrôlés à distance. Les pirates l’utilisent notamment pour envoyer des courriels en masse.
Dans les semaines à venir, on peut donc s’attendre à une hausse des courriels d’hameçonnage (phishing) : de faux messages de banque, de transporteur, d’assurance ou de service en ligne, destinés à vous faire cliquer ou saisir un mot de passe.
Quelques réflexes simples
- Ne cliquez pas sur un lien dans un message inattendu. Allez directement sur le site de l’organisme en tapant son adresse.
- Méfiez-vous de l’urgence (« votre compte sera bloqué dans 24 h »). C’est la signature classique de la fraude.
- Vérifiez l’adresse de l’expéditeur, pas seulement le nom affiché.
- Ne communiquez jamais un mot de passe ou un code par courriel ou par téléphone.
- Dans le doute, supprimez le message, ou contactez l’organisme par un canal que vous connaissez.
Et si j’ai un site ailleurs que chez Horus ?
Demandez à votre prestataire ou à votre hébergeur si PHP a bien été mis à jour depuis le 21 octobre. Si vous gérez vous-même votre site, mettez à jour PHP, puis votre CMS et ses extensions. Un site qui reste en retard est une porte ouverte pour les pirates.
Une question ?
Si vous avez un doute sur la version de PHP de votre site ou sur sa sécurité, écrivez-nous : nous vous répondrons avec plaisir.
L’équipe Horus Energy SA
