Failles de sécurité PHP : ce que nous avons fait pour votre site
Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles critiques (CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell »). Elles peuvent permettre d’exécuter du code à distance, sans identification, sur un serveur web utilisant PHP. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Au même moment, l’éditeur d’UpdraftPlus, extension de sauvegarde très répandue pour WordPress, a signalé que des clés de connexion à son service de gestion à distance UpdraftCentral avaient été dérobées et utilisées les 18 et 19 octobre.
Nos actions, dès le premier jour
- Notre plateforme d’hébergement a installé les versions corrigées de PHP le jour même. Pour la plupart des versions plus anciennes, les correctifs ont été intégrés a posteriori.
- Sans nous fier aux annonces, nous avons vérifié sur les serveurs la version de PHP réellement utilisée par chaque site. Nous répétons ce contrôle régulièrement jusqu’à ce que toutes les versions soient couvertes.
- Là où PHP n’est pas nécessaire (simple redirection, hébergement de messagerie), nous l’avons désactivé.
- Les sites qui s’y prêtaient sont passés à une version récente de PHP, après tests.
- Pour les sites reposant sur un ancien système de gestion de contenu, l’espace d’administration a été verrouillé. Le site public, lui, reste en ligne.
- Avant chaque intervention, bases de données et fichiers ont été sauvegardés et chiffrés.
- Nous avons recherché d’éventuelles traces d’intrusion et sommes intervenus immédiatement si nécessaire.
- Sur les sites WordPress dont nous assurons la maintenance, nous avons vérifié les indices liés à l’incident UpdraftCentral, mis à jour UpdraftPlus et supprimé les anciennes clés de connexion à distance.
Ces contrôles de sécurité et mesures immédiates ont été réalisés pour tous les sites que nous hébergeons, y compris ceux qui ne bénéficient pas d’un contrat de maintenance, et sans frais supplémentaires pour vous.
Et pour vous ?
En l’état actuel, la très grande majorité des sites que nous gérons fonctionnent sur des versions de PHP corrigées. Là où des systèmes plus anciens sont encore en place, nous avons pris des mesures de protection supplémentaires et préparons la migration ; ces sites devraient être modernisés et nous vous contacterons personnellement à ce sujet.
Vous n’avez en principe rien à faire. Seule exception : si vous utilisez vous-même UpdraftCentral via le service en ligne de TeamUpdraft, reconnectez-le et, en cas de doute, changez vos mots de passe administrateur. Vous pouvez aussi simplement nous contacter.
Une question ? Écrivez-nous à support@euregio.net ou appelez-nous au +32 80 64 27 93.
