Une faille PHP met des sites hors ligne : ce que tu dois vérifier sur le tien cette semaine

Publié le 02/11/2026 · Par Naïm Khalifa, Eazyclick.

Mercredi 21 octobre, des dizaines de sites de gouvernements européens ont été coupés par précaution. En cause : deux failles dans PHP, le langage qui fait tourner une énorme partie du web. La bonne nouvelle, c’est qu’un correctif existe. Le hic, c’est que quelqu’un doit l’appliquer.

Ce qui s’est passé, sans jargon

Le 20 octobre, des détails sur deux failles critiques de PHP ont fuité avant la date de publication prévue. Le lendemain, l’équipe PHP a sorti des correctifs d’urgence. Ces deux failles, surnommées PHP2Shell, sont notées 9,2 sur 10 et permettent à un attaquant d’exécuter du code sur un serveur sans même se connecter.

Gizmodo, 21 octobre 2026 : les experts s’attendent à des attaques de masse dans le quart d’heure qui suit la publication du correctif.

Le détail qui change tout : elles ont été trouvées avec l’aide de l’IA, par une coalition de chercheurs (OpenAI, Wiz, Calif), alors qu’elles dormaient dans le code depuis plus de dix ans. Résultat, la page d’accueil de la chambre basse du parlement néerlandais figurait parmi les nombreux sites publics mis hors ligne le temps d’appliquer le correctif. Cloudflare a rapporté des premières attaques dans la foulée. Certains médias spécialisés parlent déjà d’un “Black October”.

Pourquoi ça te concerne (même si tu n’es pas technique)

PHP fait tourner environ 70 à 75 % des sites dont on peut identifier le langage, selon les estimations citées par la presse. Concrètement : si ton site est sous WordPress, WooCommerce, PrestaShop ou Magento, il tourne sur PHP.

Le hic : les versions 8.1 et plus anciennes ne recevront pas de correctif, d’après SOCRadar. Environ 884 000 serveurs ouverts sur internet annoncent encore une de ces versions (relevé Shodan). Et une fois le correctif public, les attaquants peuvent comparer l’ancien et le nouveau code pour comprendre la faille. La société Sansec s’attendait à des attaques de masse dans le quart d’heure suivant la publication.

Et en Belgique ?

Le Centre pour la Cybersécurité (CCB) a reçu 588 signalements d’incidents entre le 1er janvier et le 28 septembre 2026, contre 556 sur toute l’année 2025 et 372 en 2024. Les compromissions de comptes sont en tête : 156 sur neuf mois, contre 144 sur l’ensemble de 2025.

Petite nuance honnête : ce sont des signalements, pas des attaques comptées une par une. Le CCB expliquait lui-même qu’une partie de la hausse vient du fait que les entreprises déclarent mieux qu’avant, avec la loi NIS2. Ça ne change pas le message : mieux vaut avoir vérifié son site avant d’être dans les statistiques.

Ta check-list de 30 minutes

• Demande à ton hébergeur ou à ton prestataire quelle version de PHP tourne sur ton site. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12 (ou plus récentes). Si c’est 8.1 ou plus ancien, planifie une migration.
• Mets à jour WordPress, ton thème et tes plugins. Supprime ceux que tu n’utilises plus.
• Éteins les vieux sites de test et les anciennes landing pages oubliées. Un site que personne ne met à jour est une porte ouverte.
• Active la double authentification sur ton back-office, ta boîte mail et ton hébergeur. Selon une enquête du CCB menée auprès de 250 entreprises belges en 2025, moins de la moitié l’avaient activée, alors que plus de 80 % des incidents auraient pu être évités avec cette seule mesure.
• Vérifie tes sauvegardes. Une copie récente, stockée en dehors du serveur, et un test de restauration. Une sauvegarde jamais testée est une hypothèse.

En résumé

Une faille critique, un correctif disponible, et une course de vitesse entre ceux qui mettent à jour et ceux qui attaquent. Cette semaine, pose 30 minutes dans ton agenda pour la check-list ci-dessus. Pas de panique, juste de l’hygiène. 🔒

Ton site tourne sur PHP et tu ne sais pas où il en est ? Chez Eazyclick, on conçoit des sites pensés pour rester sécurisés et à jour, avec une équipe qui s’en occupe. Parle-nous de ton site → ou découvre notre création de site web.

Sources :

• PHP, annonce des versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35
• AP via Boston 25 News, sites hors ligne et rôle de l’IA
• Gizmodo, attaques de masse attendues et premières attaques signalées par Cloudflare
• SOCRadar, PHP2Shell (CVE-2026-109618 et CVE-2026-109619)
• SecurityToday, “Black October”
• ITdaily, CCB et signalements 2026
• Brussels Times, chiffres CCB 2024, 2025, 2026
• CCB, enquête 2FA (août 2025)