Le 21 octobre, une grave faille de sécurité dans PHP a été rendue publique. Elle s'appelle php2shell (CVE-2026-109618 et CVE-2026-109619). PHP fait tourner la plupart des sites web, WordPress compris. Tu te poses donc sûrement des questions. Suis-je concerné ? Mon serveur est-il protégé ? Dois-je faire quelque chose ?
La réponse en bref : oui, tous nos serveurs d'hébergement web ont reçu le correctif. Pour la plupart des sites web, il n'y a plus rien à faire. Voici les détails.
Suis-je concerné ?
Seuls les sites web qui tournent sous PHP sur notre hébergement web étaient exposés. C'est le cas de la majorité des sites, car WordPress, Joomla et la plupart des autres systèmes utilisent PHP.
Ta messagerie a continué de fonctionner tout du long. IMAP, POP3, SMTP et SiteBirdy n'ont jamais été coupés. Tu as seulement des noms de domaine et des adresses e-mail, sans hébergement web ? Alors tu n'as rien à vérifier.
Mon serveur est-il protégé ?
Oui. Nous avons installé le correctif sur tous nos serveurs d'hébergement web en moins d'une journée :
- Le 21 octobre au soir : nos serveurs LiteSpeed. Il s'agit des serveurs da016 à da045, sauf da033 et da038.
- Dans la nuit du 21 au 22 octobre : nos serveurs CloudLinux, de da004 à da015, ainsi que da033, da038, da046 et da047. Ils sont passés en dernier, car CloudLinux a publié son correctif plus tard.
Toutes les versions de PHP, de la 5.6 à la 8.5, ont reçu le correctif.
Tu ne sais pas sur quel serveur se trouve ton site web ? Connecte-toi à DirectAdmin. La barre d'adresse de ton navigateur affiche le nom du serveur, par exemple da021.site.eu.
Bon à savoir : sur nos serveurs CloudLinux, PHP peut encore afficher le même numéro de version qu'avant, par exemple 8.5.11. C'est normal. CloudLinux a intégré le correctif à la version que tu avais déjà.
Dois-je faire quelque chose ?
Probablement pas. Vérifie tout de même ces trois points :
- Tu as mis ton site web hors ligne ? Le 21 octobre, nous avons conseillé de mettre hors ligne les sites web contenant des données sensibles jusqu'à l'installation du correctif. Tu peux maintenant remettre le tien en ligne sans risque.
- Ton site web utilise PHP 5.5 ou une version plus ancienne ? Ces versions n'ont pas reçu de correctif. Passe à une version plus récente dès que possible. Dans DirectAdmin, cherche « PHP » et ouvre Select PHP Version. L'idéal, c'est PHP 8.2 ou plus. Un ancien site web ne fonctionne pas toujours avec une nouvelle version : vérifie-le donc juste après le changement.
- Tu remarques quelque chose d'étrange sur ton site web ? Des pages que tu n'as pas créées, de nouveaux comptes administrateur ou des fichiers que tu ne reconnais pas ? Lis ce qu'il faut faire si ton site WordPress a été piraté et contacte-nous.
Le webmail et phpMyAdmin sont de retour
Par précaution, nous avons désactivé deux outils pendant quelques heures le 21 octobre : le webmail Roundcube sur mail.site.eu et phpMyAdmin sur les serveurs d'hébergement web. Les deux étaient de nouveau disponibles le soir même. Tu peux te connecter au webmail comme avant.
Depuis, nous avons aussi passé en revue tous nos serveurs et renforcé encore leur sécurité.
Des questions ?
N'hésite pas à contacter notre équipe d'assistance. Nous serons ravis de vérifier ton site web et ton serveur avec toi.
