Contactez-nous
Faille PHP php2shell comment nous avons protégé nos sites
Le 21 octobre 2026, l'équipe qui développe PHP a publié un correctif pour deux failles critiques, surnommées « php2shell ». PHP fait fonctionner une grande partie des sites internet, dont la plupart de ceux que nous développons et hébergeons. Voici comment nous avons réagi, et pourquoi nos clients n'ont rien eu à faire.
- Protection provisoire sur tous nos sites
- vers 13 h 30
- Publication du correctif officiel
- 16 h
- Tous nos serveurs à jour
- 16 h 36
- Trace d'exploitation détectée
- aucune
Le 21 octobre 2026, heure de Paris.
Ce qui s'est passé
Deux failles de sécurité, CVE-2026-109618 et CVE-2026-109619, ont été découvertes au cœur de PHP. Leur gravité est notée 9,2 sur 10 : elles pouvaient permettre à un pirate de prendre le contrôle d'un site à distance, sans mot de passe.
L'équipe de PHP avait annoncé le correctif la veille. Mais des détails ont fuité avant sa publication, et des spécialistes de la sécurité ont signalé les premières tentatives d'attaque dès le matin du 21 octobre. Il fallait donc agir avant même que le correctif existe.
Notre réaction, heure par heure
Anticiper, protéger, corriger, vérifier : la protection était en place plus de deux heures avant le correctif officiel, et le correctif installé en moins de 40 minutes.
Le résultat
Ce que cela change pour vous
Quand une faille de ce type est révélée, chaque heure compte. Un site qui n'est pas suivi peut rester exposé pendant des jours, voire des mois.
Nos sites tournent sur nos propres serveurs dédiés, administrés par notre équipe, qui compte un technicien réseau. C'est elle qui installe et met à jour PHP : la protection provisoire, puis le correctif, ont été appliqués sans attendre l'intervention d'un tiers.
Nos clients en maintenance et en hébergement n'ont rien eu à faire : nous avons anticipé, protégé, mis à jour et vérifié pour eux. Voir ce que comprend l'hébergement de nos sites, et notre intervention sur un site piraté ou en panne.
Ce que nos clients nous demandent
Mon site est-il concerné ?
Tous les sites qui fonctionnent avec PHP, comme WordPress, PrestaShop ou les sites sur mesure, pouvaient être concernés tant que leur serveur n'avait pas été mis à jour : l'exposition dépendait de sa configuration.
Les sites hébergés chez 3 Bees Online sont-ils protégés ?
Contre cette faille, oui : le correctif est installé sur tous nos serveurs depuis la fin d'après-midi du 21 octobre, et nos contrôles n'ont relevé aucune trace d'exploitation.
Mon site est hébergé ailleurs : que faire ?
Demandez à votre hébergeur s'il a installé PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou une version corrigée équivalente. Les versions de PHP antérieures à la 8.2 ne sont plus suivies par l'équipe PHP : c'est le moment de migrer.
Pourquoi mettre à jour PHP régulièrement ?
Chaque version ne reçoit des correctifs de sécurité que pendant quelques années. Rester à jour réduit les risques, et rend souvent le site plus rapide.
Contactez nous
Votre site a besoin d'un suivi de ce type ? Contactez-nous pour découvrir nos offres de maintenance et d'hébergement.