N° 06Retour de terrain · 28 octobre 2026

Une faille mondiale touche le logiciel de ma maison : qui s'en occupe, et en combien de temps ?

En bref

Votre éditeur, en quelques heures. Le 21 octobre 2026, deux failles critiques de PHP, baptisées PHP2Shell, ont exposé des millions de serveurs web dans le monde, et les attaques ont commencé le jour même. Chez MunData, nous avons doublé la protection de toutes nos applications le soir même, vérifiée depuis l'extérieur, et le correctif était installé le lendemain : aucune intrusion. La leçon : la sécurité n'est plus une mise à jour de temps en temps, c'est une veille de chaque instant.

Ce qui s'est passé le 21 octobre

PHP est le langage qui fait tourner près de sept sites web sur dix dans le monde. C'est aussi celui de nos logiciels : MyMerch, l'ERP de nos clients courtiers, notre outil de support.

Le 21 octobre, l'équipe qui maintient PHP a publié en urgence la correction de deux failles, baptisées PHP2Shell. Leur gravité : 9,2 sur 10. Une seule requête bien construite suffisait à un inconnu pour exécuter ses propres commandes sur le serveur, sans identifiant, avant même que l'application ait vérifié qui frappait à la porte.

La publication a été avancée d'un jour, parce que les références des failles avaient fuité. Des tentatives d'attaque avaient été repérées dès le 17 octobre, quatre jours avant l'annonce. Le 21 au soir, les grands acteurs du web voyaient arriver les premières attaques en nombre, et les autorités britanniques demandaient aux entreprises de mettre à jour, ou de couper leurs serveurs.

Ce que nous avons fait, heure par heure

Quand	Ce que nous avons fait
21/10, après-midi	Lecture des avis officiels, inventaire de toutes nos applications exposées sur internet. Toutes tournaient sur une version de PHP concernée.
21/10, soir	Sécurité doublée : en plus des protections de PlanetHoster, notre hébergeur, nous avons posé notre propre barrage en tête de chaque application, puis vérifié depuis l'extérieur, site par site, que la porte était fermée.
22/10	PlanetHoster installe la version corrigée de PHP, que nous vérifions sur chaque serveur. Retrait de nos barrages.
23/10	Retour à la normale, contrôlé depuis l'extérieur. Aucune intrusion.

Le barrage avait un prix, assumé : pendant environ 36 heures, l'envoi de fichiers (imports, pièces jointes) a été coupé chez nos clients. Tout le reste fonctionnait : saisie, commandes, factures, documents, mails. Entre un import reporté d'une journée et une porte ouverte sur la base de données de la maison, le choix est vite fait.

Deux protections valent mieux qu'une

Le choix qui a compté : ne jamais dépendre d'une seule protection. Celle de PlanetHoster, notre hébergeur, plus la nôtre, posée et contrôlée par nous. Et une règle : une protection n'existe que si on l'a testée depuis l'extérieur, comme le ferait un attaquant.

Deuxième leçon : « nous n'avons pas de formulaire public » ne protège de rien. Toute adresse d'une application web est une porte d'entrée, y compris la page de connexion.

L'IA accélère des deux côtés

Ces failles ont été trouvées par des équipes de recherche qui travaillent avec l'IA. C'est une bonne nouvelle : des failles anciennes, cachées depuis des années, remontent enfin. Mais les attaquants disposent des mêmes outils. Pour PHP2Shell, ils étaient au travail avant même l'annonce officielle.

Le délai entre la découverte d'une faille et son exploitation se compte désormais en heures. Une mise à jour « à la rentrée » ou « quand on aura le temps » n'a plus de sens : il faut quelqu'un qui veille, qui comprend ce qu'il lit, et qui peut agir le soir même.

Ce que ça change pour une maison de négoce

Votre ERP porte vos stocks, vos prix, vos clients, vos marges. Sa sécurité ne se voit pas, tant que tout va bien. Quatre questions à poser à votre éditeur, quel qu'il soit :

La question	Chez MunData
Qui surveille les alertes de sécurité, y compris le soir et le week-end ?	Moi, et des alertes automatiques : tout est surveillé, en permanence.
En combien de temps une faille critique est-elle traitée ?	PHP2Shell : protégé le soir même, corrigé le lendemain.
Comment vérifiez-vous que la protection est vraiment active ?	Par un test depuis l'extérieur, application par application.
Où sont mes données, et à quelle fréquence sont-elles sauvegardées ?	Hébergées en France, sauvegardées toutes les heures.

Ce que j'en retiens

La sécurité d'un logiciel n'est pas un état, c'est une veille. Personne n'empêchera la prochaine faille mondiale ; ce qui compte, c'est le temps qu'il faut pour fermer la porte, et la certitude qu'elle est bien fermée.

Et chez vous, la première question est simple : qui s'en serait occupé le 21 octobre au soir ? C'est par là que je commence quand on travaille ensemble. Voir MyMerch, l'ERP des négociants →

— fin de la note 06 —

Questions fréquentes

Qu'est-ce que PHP2Shell ?

PHP2Shell désigne deux failles critiques de PHP (CVE-2026-109618 et CVE-2026-109619), corrigées le 21 octobre 2026, qui permettent d'exécuter du code à distance sur un serveur web sans aucun identifiant. Toutes les installations PHP servant des pages web étaient concernées ; les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Comment savoir si mon logiciel est concerné par PHP2Shell ?

S'il est accessible par le web et repose sur PHP, il l'était tant que le correctif n'a pas été installé. Demandez à votre éditeur la version de PHP et sa date de compilation : certains hébergeurs corrigent sans changer le numéro de version.

Que doit faire un éditeur face à une faille critique ?

Bloquer le chemin d'attaque dans les heures qui suivent l'annonce, vérifier ce blocage depuis l'extérieur, installer le correctif dès sa sortie, puis lever les restrictions. Chez MunData, pour PHP2Shell, la protection a été doublée le soir de l'annonce et le correctif installé le lendemain, sans aucune intrusion.

Pourquoi l'IA rend-elle la sécurité plus urgente ?

Parce qu'elle accélère la découverte des failles comme leur exploitation : pour PHP2Shell, des tentatives d'attaque ont été observées quatre jours avant l'annonce officielle. Le délai de réaction se compte désormais en heures, ce qui impose une veille de sécurité continue.

Sources

Vérifié le 28/10/2026.

Simon Terrasson
MunData, Bordeaux — plus de dix ans sur la Place
Mis à jour le 28/10/2026