{"id":185,"date":"2026-10-26T15:10:35","date_gmt":"2026-10-26T14:10:35","guid":{"rendered":"https:\/\/pavillon-noir.tech\/?p=185"},"modified":"2026-10-26T15:10:35","modified_gmt":"2026-10-26T14:10:35","slug":"php2shell-votre-site-web-est-il-une-porte-ouverte","status":"publish","type":"post","link":"https:\/\/pavillon-noir.tech\/index.php\/2026\/10\/26\/php2shell-votre-site-web-est-il-une-porte-ouverte\/","title":{"rendered":"PHP2Shell : votre site web est peut-\u00eatre une porte ouverte"},"content":{"rendered":"\n<style>\n\n.pn-art{--pn-ink:#111827;--pn-navy:#0B1220;--pn-mid:#374151;--pn-muted:#4B5563;--pn-line:rgba(17,24,39,.12);--pn-accent:#1D4ED8;--pn-accent-soft:#EFF6FF;--pn-red:#B91C1C;--pn-red-soft:#FEF2F2;--pn-amber:#92400E;--pn-amber-soft:#FFFBEB;--pn-green:#166534;--pn-green-soft:#F0FDF4;--pn-r:var(--r-lg,20px);--pn-mono:ui-monospace,SFMono-Regular,Menlo,Consolas,\"Liberation Mono\",monospace;color:var(--pn-mid);font-size:1.0625rem;line-height:1.75}\n.pn-art *,.pn-art *::before,.pn-art *::after{box-sizing:border-box}\n.pn-art p,.pn-art li{max-width:none}\n.pn-art p{margin:0 0 1.25rem}\n.pn-art strong{color:var(--pn-ink)}\n.pn-art a{color:var(--pn-accent);text-decoration:underline;text-underline-offset:3px;overflow-wrap:anywhere}\n.pn-art .pn-art-h2{font-family:var(--font-display,inherit);color:var(--pn-ink);font-size:clamp(1.5rem,3.2vw,2.1rem);line-height:1.2;letter-spacing:-.02em;margin:3.25rem 0 1rem;display:flex;gap:.75rem;align-items:baseline}\n.pn-art .pn-art-h2 .pn-art-num{font-family:var(--pn-mono);font-size:.8rem;font-weight:700;letter-spacing:.06em;color:var(--pn-accent);border:1.5px solid currentColor;border-radius:999px;padding:.1rem .55rem;flex:none;transform:translateY(-.2em)}\n.pn-art .pn-art-h3{font-family:var(--font-display,inherit);color:var(--pn-ink);font-size:1.25rem;line-height:1.3;margin:2rem 0 .75rem}\n.pn-art .pn-art-kicker{display:inline-block;font-family:var(--pn-mono);font-size:.75rem;font-weight:700;letter-spacing:.12em;text-transform:uppercase;margin-bottom:.6rem}\n.pn-art .pn-art-tag{display:inline-block;font-family:var(--pn-mono);font-size:.72rem;font-weight:700;letter-spacing:.08em;text-transform:uppercase;color:var(--pn-amber);background:var(--pn-amber-soft);border:1px solid #FCD34D;border-radius:999px;padding:.15rem .6rem;margin:0 0 1rem}\n\/* Carte \"En une phrase\" *\/\n.pn-art .pn-art-hero{position:relative;overflow:hidden;background:var(--pn-navy);background-image:radial-gradient(120% 80% at 100% 0,rgba(29,78,216,.45) 0,rgba(29,78,216,0) 60%),repeating-linear-gradient(135deg,rgba(255,255,255,.035) 0 2px,transparent 2px 14px);color:#E5E7EB;border-radius:var(--pn-r);padding:clamp(1.5rem,4vw,2.5rem);margin:0 0 1.5rem;box-shadow:0 12px 40px rgba(11,18,32,.25)}\n.pn-art .pn-art-hero .pn-art-kicker{color:#93C5FD}\n.pn-art .pn-art-hero p{color:#E5E7EB;font-size:clamp(1.1rem,2.2vw,1.3rem);line-height:1.6;margin:0}\n.pn-art .pn-art-hero strong{color:#fff}\n.pn-art .pn-art-hero-top{display:flex;flex-wrap:wrap;gap:.5rem;align-items:center;justify-content:space-between;margin-bottom:1rem}\n.pn-art .pn-art-sev{display:inline-flex;align-items:center;gap:.5rem;background:#DC2626;color:#fff;font-family:var(--pn-mono);font-weight:700;font-size:.8rem;letter-spacing:.04em;border-radius:999px;padding:.35rem .8rem;white-space:nowrap}\n.pn-art .pn-art-sev::before{content:\"\";width:.55rem;height:.55rem;border-radius:50%;background:#fff;box-shadow:0 0 0 3px rgba(255,255,255,.35)}\n.pn-art .pn-art-hero-foot{display:flex;flex-wrap:wrap;gap:.5rem 1.25rem;margin-top:1.25rem;padding-top:1rem;border-top:1px solid rgba(255,255,255,.14);font-family:var(--pn-mono);font-size:.78rem;color:#CBD5E1}\n.pn-art .pn-art-hero-foot b{color:#fff;font-weight:700}\n\/* Carte action *\/\n.pn-art .pn-art-action{background:#fff;border:1px solid var(--pn-line);border-left:6px solid var(--pn-accent);border-radius:var(--pn-r);padding:clamp(1.25rem,3.5vw,2rem);margin:0 0 1.5rem;box-shadow:0 2px 6px rgba(17,24,39,.05),0 10px 28px rgba(17,24,39,.06)}\n.pn-art .pn-art-action .pn-art-kicker{color:var(--pn-accent)}\n.pn-art .pn-art-action p{margin:0 0 1rem}\n.pn-art .pn-art-steps{list-style:none;margin:0;padding:0;display:grid;grid-template-columns:repeat(3,minmax(0,1fr));gap:.75rem;counter-reset:s}\n.pn-art .pn-art-steps li{counter-increment:s;background:var(--pn-accent-soft);border-radius:14px;padding:.85rem .9rem .9rem;margin:0;font-size:.95rem;line-height:1.45;color:var(--pn-ink)}\n.pn-art .pn-art-steps li::before{content:counter(s);display:grid;place-items:center;width:1.7rem;height:1.7rem;border-radius:50%;background:var(--pn-accent);color:#fff;font-weight:800;font-size:.85rem;margin-bottom:.45rem}\n.pn-art .pn-art-time{margin:1rem 0 0!important;font-family:var(--pn-mono);font-size:.82rem;color:var(--pn-muted)}\n\/* Callouts *\/\n.pn-art .pn-art-callout{display:grid;grid-template-columns:auto 1fr;gap:.9rem;border-radius:16px;padding:1.1rem 1.25rem;margin:1.5rem 0;border:1px solid}\n.pn-art .pn-art-callout .pn-art-ico{width:2rem;height:2rem;border-radius:10px;display:grid;place-items:center;font-weight:900;font-size:1rem;font-family:var(--pn-mono)}\n.pn-art .pn-art-callout p{margin:0 0 .6rem;font-size:.98rem;line-height:1.6}\n.pn-art .pn-art-callout p:last-child{margin-bottom:0}\n.pn-art .pn-art-callout .pn-art-ct{display:block;font-weight:800;margin-bottom:.25rem}\n.pn-art .pn-art-warn{background:var(--pn-amber-soft);border-color:#FCD34D;color:#78350F}\n.pn-art .pn-art-warn .pn-art-ico{background:#F59E0B;color:#111827}\n.pn-art .pn-art-warn strong,.pn-art .pn-art-warn .pn-art-ct{color:#78350F}\n.pn-art .pn-art-tip{background:var(--pn-green-soft);border-color:#86EFAC;color:#14532D}\n.pn-art .pn-art-tip .pn-art-ico{background:#16A34A;color:#fff}\n.pn-art .pn-art-tip strong,.pn-art .pn-art-tip .pn-art-ct{color:#14532D}\n.pn-art .pn-art-info{background:var(--pn-accent-soft);border-color:#BFDBFE;color:#1E3A8A}\n.pn-art .pn-art-info .pn-art-ico{background:var(--pn-accent);color:#fff}\n.pn-art .pn-art-info strong,.pn-art .pn-art-info .pn-art-ct{color:#1E3A8A}\n.pn-art .pn-art-alarm{background:var(--pn-red-soft);border-color:#FCA5A5;color:#7F1D1D}\n.pn-art .pn-art-alarm .pn-art-ico{background:var(--pn-red);color:#fff}\n.pn-art .pn-art-alarm strong,.pn-art .pn-art-alarm .pn-art-ct{color:#7F1D1D}\n.pn-art .pn-art-callout code,.pn-art .pn-art-box code{font-family:var(--pn-mono);font-size:.85em;background:rgba(17,24,39,.07);color:inherit;padding:.1rem .35rem;border-radius:5px}\n\/* Jauge gravit\u00e9 *\/\n.pn-art .pn-art-meter{background:#fff;border:1px solid var(--pn-line);border-radius:16px;padding:1rem 1.25rem;margin:1.5rem 0}\n.pn-art .pn-art-meter-row{display:flex;justify-content:space-between;align-items:baseline;gap:1rem;flex-wrap:wrap}\n.pn-art .pn-art-meter-score{font-family:var(--font-display,inherit);font-weight:800;font-size:2.4rem;line-height:1;color:var(--pn-red)}\n.pn-art .pn-art-meter-score small{font-size:1rem;color:var(--pn-muted);font-weight:600}\n.pn-art .pn-art-meter-label{font-family:var(--pn-mono);font-size:.78rem;color:var(--pn-muted);text-transform:uppercase;letter-spacing:.08em}\n.pn-art .pn-art-bar{position:relative;height:12px;border-radius:999px;background:linear-gradient(90deg,#16A34A 0 39%,#F59E0B 39% 69%,#EA580C 69% 89%,#DC2626 89% 100%);margin:.9rem 0 .35rem}\n.pn-art .pn-art-bar span{position:absolute;top:50%;left:92%;width:22px;height:22px;transform:translate(-50%,-50%);border-radius:50%;background:#fff;border:4px solid var(--pn-ink);box-shadow:0 2px 6px rgba(0,0,0,.25)}\n.pn-art .pn-art-scale{display:flex;justify-content:space-between;font-family:var(--pn-mono);font-size:.7rem;color:var(--pn-muted)}\n\/* Timeline *\/\n.pn-art .pn-art-tl{list-style:none;margin:1.75rem 0;padding:0 0 0 1.75rem;position:relative}\n.pn-art .pn-art-tl::before{content:\"\";position:absolute;left:calc(.475rem - 1px);top:.4rem;bottom:.4rem;width:2px;background:linear-gradient(var(--pn-line),var(--pn-accent) 60%,#DC2626)}\n.pn-art .pn-art-tl li{position:relative;margin:0 0 1rem;padding:0}\n.pn-art .pn-art-tl li::before{content:\"\";position:absolute;left:-1.75rem;top:1.15rem;width:.95rem;height:.95rem;border-radius:50%;background:#fff;border:3px solid var(--pn-accent);}\n.pn-art .pn-art-tl li.pn-art-hot::before{border-color:#DC2626;background:#DC2626;box-shadow:0 0 0 5px rgba(220,38,38,.18)}\n.pn-art .pn-art-tl-card{background:#fff;border:1px solid var(--pn-line);border-radius:14px;padding:.9rem 1.1rem}\n.pn-art .pn-art-hot .pn-art-tl-card{border-color:#FCA5A5;background:#FFF7F7}\n.pn-art .pn-art-tl-date{font-family:var(--pn-mono);font-weight:700;font-size:.8rem;letter-spacing:.06em;text-transform:uppercase;color:var(--pn-accent)}\n.pn-art .pn-art-hot .pn-art-tl-date{color:var(--pn-red)}\n.pn-art .pn-art-tl-card p{margin:.25rem 0 .4rem;font-size:.97rem;line-height:1.55;color:var(--pn-ink)}\n.pn-art .pn-art-tl-src{font-size:.8rem;color:var(--pn-muted)}\n.pn-art .pn-art-tl-src a{color:var(--pn-muted)}\n\/* Grilles *\/\n.pn-art .pn-art-grid{display:grid;grid-template-columns:repeat(2,minmax(0,1fr));gap:.75rem;margin:1.25rem 0 1.5rem;padding:0;list-style:none}\n.pn-art .pn-art-grid li{margin:0;background:#fff;border:1px solid var(--pn-line);border-radius:14px;padding:.9rem 1rem;font-size:.97rem;line-height:1.5;color:var(--pn-ink)}\n.pn-art .pn-art-grid li b{display:block;font-family:var(--pn-mono);font-size:.72rem;letter-spacing:.08em;text-transform:uppercase;color:var(--pn-red);margin-bottom:.2rem}\n.pn-art .pn-art-chips{display:flex;flex-wrap:wrap;gap:.5rem;list-style:none;margin:1rem 0 1.5rem;padding:0}\n.pn-art .pn-art-chips li{margin:0;background:var(--pn-ink);color:#F9FAFB;border-radius:999px;padding:.4rem .85rem;font-size:.9rem;line-height:1.35}\n.pn-art .pn-art-quote{font-family:var(--font-display,inherit);font-size:clamp(1.15rem,2.4vw,1.4rem);line-height:1.4;color:var(--pn-ink);border-left:4px solid var(--pn-accent);padding:.25rem 0 .25rem 1.1rem;margin:1.75rem 0}\n\/* \u00c9tapes num\u00e9rot\u00e9es *\/\n.pn-art .pn-art-do{list-style:none;margin:1.25rem 0;padding:0;counter-reset:d}\n.pn-art .pn-art-do>li{counter-increment:d;position:relative;margin:0 0 1.25rem;padding:0 0 0 3.1rem}\n.pn-art .pn-art-do>li::before{content:counter(d);position:absolute;left:0;top:0;width:2.2rem;height:2.2rem;border-radius:12px;background:var(--pn-ink);color:#fff;font-weight:800;display:grid;place-items:center;font-family:var(--font-display,inherit)}\n.pn-art .pn-art-do>li>p{margin:0 0 .6rem}\n.pn-art .pn-art-q{list-style:none;margin:.5rem 0 0;padding:0}\n.pn-art .pn-art-q li{margin:0 0 .5rem;background:#fff;border:1px dashed rgba(29,78,216,.45);border-radius:12px;padding:.6rem .9rem;color:var(--pn-ink);font-weight:600;font-size:.97rem}\n\/* Tableau *\/\n.pn-art .pn-art-tablewrap{margin:1rem 0 1.25rem;border:1px solid var(--pn-line);border-radius:16px;overflow:hidden;background:#fff}\n.pn-art .pn-art-table{width:100%;border-collapse:collapse;font-size:.97rem;margin:0}\n.pn-art .pn-art-table caption{caption-side:top;text-align:left;padding:.85rem 1rem;font-family:var(--pn-mono);font-size:.75rem;letter-spacing:.08em;text-transform:uppercase;color:#E5E7EB;background:var(--pn-navy)}\n.pn-art .pn-art-table th,.pn-art .pn-art-table td{padding:.75rem 1rem;text-align:left;border-top:1px solid var(--pn-line);vertical-align:middle}\n.pn-art .pn-art-table thead th{background:#F3F4F6;color:var(--pn-ink);font-size:.8rem;text-transform:uppercase;letter-spacing:.05em;border-top:0}\n.pn-art .pn-art-table tbody th{color:var(--pn-ink);font-weight:700;white-space:nowrap}\n.pn-art .pn-art-ok{display:inline-flex;align-items:center;gap:.4rem;font-family:var(--pn-mono);font-weight:700;color:var(--pn-green);background:var(--pn-green-soft);border-radius:8px;padding:.15rem .5rem}\n.pn-art .pn-art-ok::before{content:\"\u2713\"}\n.pn-art .pn-art-ko-row td,.pn-art .pn-art-ko-row th{background:var(--pn-red-soft)}\n.pn-art .pn-art-ko{color:#7F1D1D;font-weight:700}\n.pn-art .pn-art-note{display:block;font-size:.8rem;color:var(--pn-muted);font-weight:400;margin-top:.15rem}\n\/* Bo\u00eete \"v\u00e9rifier\" *\/\n.pn-art .pn-art-box{background:#fff;border:1px solid var(--pn-line);border-radius:var(--pn-r);padding:1.25rem 1.4rem;margin:1.5rem 0}\n.pn-art .pn-art-box .pn-art-kicker{color:var(--pn-accent)}\n.pn-art .pn-art-box h3{font-family:var(--font-display,inherit);font-size:1.2rem;color:var(--pn-ink);margin:0 0 .75rem;line-height:1.3}\n.pn-art .pn-art-path{display:flex;flex-wrap:wrap;gap:.35rem;align-items:center;margin:.25rem 0 1rem;padding:0;list-style:none}\n.pn-art .pn-art-path li{margin:0;font-family:var(--pn-mono);font-size:.82rem;background:var(--pn-ink);color:#fff;border-radius:8px;padding:.3rem .6rem}\n.pn-art .pn-art-path .pn-art-arrow{background:none;color:var(--pn-accent);padding:0 .1rem;font-weight:700}\n.pn-art .pn-art-box ul{margin:0;padding-left:1.2rem}\n.pn-art .pn-art-box li{margin:0 0 .45rem;font-size:.97rem}\n\/* Mythes *\/\n.pn-art .pn-art-myths{display:grid;gap:.75rem;margin:1.25rem 0;padding:0;list-style:none}\n.pn-art .pn-art-myths li{margin:0;display:grid;grid-template-columns:minmax(0,.9fr) minmax(0,1.4fr);border:1px solid var(--pn-line);border-radius:16px;overflow:hidden;background:#fff}\n.pn-art .pn-art-myth{background:#F3F4F6;padding:1rem;font-weight:700;color:var(--pn-ink);font-size:.98rem;line-height:1.45}\n.pn-art .pn-art-myth::before{content:\"\u2717 Id\u00e9e re\u00e7ue\";display:block;font-family:var(--pn-mono);font-size:.7rem;letter-spacing:.08em;text-transform:uppercase;color:var(--pn-red);margin-bottom:.3rem}\n.pn-art .pn-art-real{padding:1rem;font-size:.97rem;line-height:1.55}\n.pn-art .pn-art-real::before{content:\"\u2713 En r\u00e9alit\u00e9\";display:block;font-family:var(--pn-mono);font-size:.7rem;letter-spacing:.08em;text-transform:uppercase;color:var(--pn-green);margin-bottom:.3rem}\n\/* Liste \u00e9ditoriale *\/\n.pn-art .pn-art-list{list-style:none;margin:1rem 0 1.5rem;padding:0}\n.pn-art .pn-art-list li{position:relative;margin:0 0 .9rem;padding:0 0 0 1.4rem}\n.pn-art .pn-art-list li::before{content:\"\";position:absolute;left:0;top:.62em;width:.55rem;height:.55rem;border-radius:2px;background:var(--pn-accent);transform:rotate(45deg)}\n.pn-art .pn-art-list li strong{color:var(--pn-ink)}\n\/* E-mail *\/\n.pn-art .pn-art-mail{border-radius:var(--pn-r);overflow:hidden;border:1px solid #1F2937;margin:1.5rem 0;background:var(--pn-navy)}\n.pn-art .pn-art-mail-bar{display:flex;flex-wrap:wrap;justify-content:space-between;gap:.5rem;align-items:center;padding:.7rem 1rem;background:#1F2937;color:#E5E7EB;font-family:var(--pn-mono);font-size:.75rem;letter-spacing:.06em;text-transform:uppercase}\n.pn-art .pn-art-mail-bar span:last-child{color:#93C5FD;text-transform:none;letter-spacing:0}\n.pn-art .pn-art-mail pre{margin:0;padding:1.1rem 1.2rem;background:transparent;color:#F3F4F6;font-family:var(--pn-mono);font-size:.86rem;line-height:1.65;white-space:pre-wrap;word-break:break-word;overflow:visible;border-radius:0;-webkit-user-select:all;user-select:all;cursor:text}\n\/* Avis *\/\n.pn-art .pn-art-stance{list-style:none;margin:1.25rem 0;padding:0;counter-reset:a;display:grid;gap:.75rem}\n.pn-art .pn-art-stance li{counter-increment:a;margin:0;display:grid;grid-template-columns:auto 1fr;gap:1rem;align-items:start;background:var(--pn-ink);color:#E5E7EB;border-radius:16px;padding:1rem 1.2rem;font-size:.98rem;line-height:1.55}\n.pn-art .pn-art-stance li::before{content:\"0\" counter(a);font-family:var(--font-display,inherit);font-weight:800;font-size:1.6rem;line-height:1;color:#93C5FD}\n.pn-art .pn-art-stance li strong{color:#fff}\n\/* \u00c0 retenir *\/\n.pn-art .pn-art-key{position:relative;background:var(--pn-navy);color:#E5E7EB;border-radius:var(--pn-r);padding:clamp(1.5rem,4vw,2.25rem);margin:2.5rem 0;overflow:hidden}\n.pn-art .pn-art-key::after{content:\"\";position:absolute;right:-40px;top:-40px;width:160px;height:160px;border-radius:50%;border:24px solid rgba(29,78,216,.35)}\n.pn-art .pn-art-key .pn-art-kicker{color:#93C5FD}\n.pn-art .pn-art-key p{position:relative;z-index:1;margin:0;font-size:clamp(1.05rem,2.1vw,1.2rem);line-height:1.6;color:#E5E7EB}\n.pn-art .pn-art-key strong{color:#fff}\n\/* Glossaire *\/\n.pn-art .pn-art-gloss{display:grid;grid-template-columns:repeat(2,minmax(0,1fr));gap:.75rem;margin:1rem 0 1.5rem}\n.pn-art .pn-art-gloss div{background:#fff;border:1px solid var(--pn-line);border-radius:14px;padding:.9rem 1rem}\n.pn-art .pn-art-gloss dt{font-family:var(--pn-mono);font-weight:700;color:var(--pn-accent);font-size:.92rem;margin:0 0 .25rem}\n.pn-art .pn-art-gloss dd{margin:0;font-size:.95rem;line-height:1.5;color:var(--pn-mid)}\n\/* CTA *\/\n.pn-art .pn-art-cta{text-align:center;border:2px dashed rgba(17,24,39,.25);border-radius:var(--pn-r);padding:1.75rem 1.25rem;margin:2.5rem 0}\n.pn-art .pn-art-cta p{margin:0 auto;max-width:34rem}\n.pn-art .pn-art-cta .pn-art-cta-t{font-family:var(--font-display,inherit);font-size:clamp(1.25rem,2.6vw,1.55rem);color:var(--pn-ink);font-weight:800;line-height:1.3;margin-bottom:.5rem}\n\/* Sources *\/\n.pn-art .pn-art-src{border-top:2px solid var(--pn-ink);padding-top:1.25rem;margin-top:2.5rem}\n.pn-art .pn-art-src h2.pn-art-h2{margin-top:0;font-size:1.35rem}\n.pn-art .pn-art-src ol{margin:0 0 1rem;padding-left:1.4rem;font-size:.92rem;line-height:1.55}\n.pn-art .pn-art-src li{margin:0 0 .45rem}\n.pn-art .pn-art-src .pn-art-src-sub{font-family:var(--pn-mono);font-size:.75rem;letter-spacing:.08em;text-transform:uppercase;color:var(--pn-muted);margin:1.25rem 0 .5rem}\n.pn-art .pn-art-sign{margin-top:2rem!important;text-align:center;font-family:var(--font-display,inherit);font-weight:700;color:var(--pn-ink)}\n.pn-art .pn-art-sign span{display:inline-block;width:1.1rem;height:1.1rem;background:var(--pn-ink);border-radius:3px;vertical-align:-.15rem;margin-right:.45rem;clip-path:polygon(0 0,100% 0,100% 70%,50% 100%,0 70%)}\n@media (max-width:640px){\n\n.pn-art{font-size:1rem}\n.pn-art .pn-art-steps{grid-template-columns:1fr}\n.pn-art .pn-art-grid,.pn-art .pn-art-gloss{grid-template-columns:1fr}\n.pn-art .pn-art-myths li{grid-template-columns:1fr}\n.pn-art .pn-art-h2{flex-direction:column;gap:.4rem}\n.pn-art .pn-art-h2 .pn-art-num{transform:none}\n.pn-art .pn-art-do>li{padding-left:0}\n.pn-art .pn-art-do>li::before{position:static;display:grid;width:1.9rem;height:1.9rem;border-radius:10px;margin-bottom:.5rem}\n.pn-art .pn-art-table thead th{font-size:.72rem}\n.pn-art .pn-art-path li{font-size:.75rem}\n.pn-art .pn-art-table th,.pn-art .pn-art-table td{padding:.65rem .75rem}\n.pn-art .pn-art-table tbody th{white-space:normal}\n.pn-art .pn-art-callout{grid-template-columns:1fr;gap:.5rem}\n}\n<\/style>\n<div class=\"pn-art\">\n<div class=\"pn-art-hero\" role=\"region\" aria-label=\"R\u00e9sum\u00e9\">\n<div class=\"pn-art-hero-top\"><span class=\"pn-art-kicker\">\/\/ En une phrase<\/span><span class=\"pn-art-sev\" title=\"Score CVSS v4.0\">Gravit\u00e9 9,2\/10 \u00b7 critique<\/span><\/div>\n<p>Deux failles critiques d\u00e9couvertes dans <strong>PHP<\/strong>, le langage qui fait tourner la majorit\u00e9 des sites web (dont tous les sites WordPress), permettent \u00e0 un inconnu de <strong>prendre le contr\u00f4le du serveur \u00e0 distance<\/strong>. Le correctif existe depuis le 21 octobre. La seule question est&nbsp;: <strong>votre site l\u2019a-t-il re\u00e7u&nbsp;?<\/strong><\/p>\n<div class=\"pn-art-hero-foot\"><span><b>CVE<\/b> 2026-109618 \u00b7 2026-109619<\/span><span><b>Corrig\u00e9 le<\/b> 21 oct. 2026<\/span><span><b>Exploit\u00e9<\/b> oui, confirm\u00e9<\/span><\/div>\n<\/div>\n<div class=\"pn-art-action\" role=\"region\" aria-label=\"\u00c0 faire maintenant\">\n<span class=\"pn-art-kicker\">\u2192 \u00c0 faire maintenant<\/span>\n<p>Vous n\u2019avez pas besoin de comprendre la technique. Vous avez besoin des bonnes r\u00e9ponses.<\/p>\n<ol class=\"pn-art-steps\">\n<li><strong>Demandez<\/strong> \u00e0 votre prestataire si le correctif PHP2Shell est install\u00e9 sur votre site.<\/li>\n<li><strong>V\u00e9rifiez<\/strong> sa r\u00e9ponse avec le tableau des versions plus bas.<\/li>\n<li><strong>S\u2019il ne l\u2019\u00e9tait pas<\/strong>, faites contr\u00f4ler qu\u2019il n\u2019y a pas eu d\u2019intrusion.<\/li>\n<\/ol>\n<p class=\"pn-art-time\">\u23f1 Temps n\u00e9cessaire de votre c\u00f4t\u00e9&nbsp;: un e-mail (mod\u00e8le pr\u00eat \u00e0 copier plus bas).<\/p>\n<\/div>\n<div class=\"pn-art-callout pn-art-warn\" role=\"note\">\n<span class=\"pn-art-ico\" aria-hidden=\"true\">!<\/span>\n<div><p><span class=\"pn-art-ct\">Avertissement<\/span>\u00c0 jour au 26 octobre 2026. La situation \u00e9volue&nbsp;: r\u00e9f\u00e9rez-vous \u00e0 l\u2019<a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\">avis officiel PHP<\/a>. Les parties \u00ab&nbsp;prochains mois&nbsp;\u00bb, \u00ab&nbsp;avenir&nbsp;\u00bb et \u00ab&nbsp;avis&nbsp;\u00bb sont une analyse personnelle, pas une certitude. Cet article ne remplace pas un professionnel qui conna\u00eet votre installation.<\/p><\/div>\n<\/div>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">01<\/span>Ce qui s\u2019est pass\u00e9, en clair<\/h2>\n<p>Le <strong>20 octobre 2026<\/strong>, l\u2019\u00e9quipe qui maintient PHP a pr\u00e9venu qu\u2019une mise \u00e0 jour de s\u00e9curit\u00e9 urgente arrivait le lendemain. Le <strong>21 octobre<\/strong>, elle a publi\u00e9 les correctifs pour deux failles, surnomm\u00e9es <strong>PHP2Shell<\/strong> (r\u00e9f\u00e9rences officielles&nbsp;: CVE-2026-109618 et CVE-2026-109619).<\/p>\n<div class=\"pn-art-meter\" role=\"img\" aria-label=\"Note de gravit\u00e9 : 9,2 sur 10, cat\u00e9gorie critique\">\n<div class=\"pn-art-meter-row\"><span class=\"pn-art-meter-score\">9,2 <small>\/ 10<\/small><\/span><span class=\"pn-art-meter-label\">Note de gravit\u00e9 CVSS v4.0 \u00b7 critique<\/span><\/div>\n<div class=\"pn-art-bar\"><span><\/span><\/div>\n<div class=\"pn-art-scale\"><span>0 \u00b7 faible<\/span><span>4 \u00b7 moyen<\/span><span>7 \u00b7 \u00e9lev\u00e9<\/span><span>9 \u00b7 critique<\/span><\/div>\n<\/div>\n<p>Pour situer&nbsp;: au-del\u00e0 de 9, on parle de \u00ab&nbsp;critique&nbsp;\u00bb, la cat\u00e9gorie o\u00f9 l\u2019on ne planifie pas, <strong>on agit<\/strong>.<\/p>\n<p>Probl\u00e8me suppl\u00e9mentaire&nbsp;: des d\u00e9tails techniques ont fuit\u00e9 avant la publication du correctif. D\u00e8s les premiers jours, des acteurs comme Cloudflare ont observ\u00e9 des tentatives d\u2019attaque. Autrement dit, les attaquants n\u2019ont pas attendu.<\/p>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">02<\/span>O\u00f9 en est-on au 26 octobre&nbsp;: les faits<\/h2>\n<p>\u00c0 ce jour, aucune entreprise victime n\u2019a \u00e9t\u00e9 nomm\u00e9e publiquement. Mais depuis ce week-end, on sait que <strong>l\u2019attaque fonctionne r\u00e9ellement<\/strong>. Avant le 24 octobre, les analystes ne voyaient que des rep\u00e9rages et des tentatives rat\u00e9es, sans compromission connue. Ce n\u2019est plus le cas.<\/p>\n<ol class=\"pn-art-tl\" aria-label=\"Chronologie de PHP2Shell, du plus ancien au plus r\u00e9cent\">\n<li><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">17 oct.<\/span><p>Amazon d\u00e9tecte une premi\u00e8re tentative sur ses serveurs pi\u00e8ges, quatre jours avant la divulgation.<\/p><span class=\"pn-art-tl-src\">Source&nbsp;: <a href=\"https:\/\/aws.amazon.com\/blogs\/security\/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\/\">Amazon<\/a><\/span><\/div><\/li>\n<li><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">20 oct.<\/span><p>Fuite des d\u00e9tails. PHP annonce un correctif pour le lendemain.<\/p><span class=\"pn-art-tl-src\">Source&nbsp;: <a href=\"https:\/\/rescana.com\/post\/php-rce-flaws-patch-october-2026-prepare-now\">Rescana<\/a><\/span><\/div><\/li>\n<li><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">21 oct. (nuit)<\/span><p>Premiers codes d\u2019attaque publi\u00e9s, une douzaine d\u2019heures avant l\u2019annonce officielle. Selon l\u2019\u00e9quipe PHP, aucun ne fonctionnait.<\/p><span class=\"pn-art-tl-src\">Source&nbsp;: <a href=\"https:\/\/www.infosecurity-magazine.com\/news\/php2shell-exploitation-attempt\/\">Infosecurity Magazine<\/a><\/span><\/div><\/li>\n<li><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">21 oct.<\/span><p><strong>Correctifs publi\u00e9s.<\/strong> Dans les heures qui suivent, Amazon, watchTowr et Cloudflare observent des vagues de tentatives. Amazon parle d\u2019exploitation \u00ab&nbsp;large&nbsp;\u00bb&nbsp;: de nombreuses tentatives, sans succ\u00e8s confirm\u00e9 \u00e0 ce moment-l\u00e0.<\/p><span class=\"pn-art-tl-src\">Sources&nbsp;: <a href=\"https:\/\/aws.amazon.com\/blogs\/security\/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\/\">Amazon<\/a>, <a href=\"https:\/\/watchtowr.com\/intelligence\/php-remote-code-execution-php2shell\/\">watchTowr<\/a><\/span><\/div><\/li>\n<li><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">22 oct.<\/span><p>Des chercheurs d\u00e9couvrent, sur un serveur d\u2019attaquant, un outil d\u2019attaque test\u00e9 et des scripts ayant d\u00e9j\u00e0 pass\u00e9 au crible une vingtaine de sites publics, dont en Europe.<\/p><span class=\"pn-art-tl-src\">Source&nbsp;: <a href=\"https:\/\/socradar.io\/blog\/php2shell-exploit-tooling-attacker-server\/\">SOCRadar<\/a><\/span><\/div><\/li>\n<li><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">23 oct.<\/span><p>L\u2019\u00e9quipe PHP signale une nouvelle faille du m\u00eame type (CVE-2026-115560), sans correctif pour l\u2019instant, exploitable seulement dans des configurations inhabituelles. Une mesure provisoire est publi\u00e9e.<\/p><span class=\"pn-art-tl-src\">Source&nbsp;: <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/php-shares-mitigation-for-new-and-unpatched-rce-vulnerability\/\">BleepingComputer<\/a><\/span><\/div><\/li>\n<li class=\"pn-art-hot\"><div class=\"pn-art-tl-card\"><span class=\"pn-art-tl-date\">24 oct. \u00b7 rendu public le 26<\/span><p><strong>Premi\u00e8res prises de contr\u00f4le r\u00e9ussies<\/strong>&nbsp;: trois serveurs pi\u00e8ges non corrig\u00e9s (Apache, PHP 8.4.26) ont ex\u00e9cut\u00e9 les commandes d\u2019attaquants, avec 35&nbsp;shells lanc\u00e9s. Relev\u00e9 par le chercheur Adel Karimi (Perplexity), analyse confirm\u00e9e par le chercheur Marcus Hutchins, rendu public par BleepingComputer le 26&nbsp;octobre.<\/p><span class=\"pn-art-tl-src\">Source&nbsp;: <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild\/\">BleepingComputer<\/a><\/span><\/div><\/li>\n<\/ol>\n<div class=\"pn-art-callout pn-art-info\" role=\"note\">\n<span class=\"pn-art-ico\" aria-hidden=\"true\">i<\/span>\n<div><p><span class=\"pn-art-ct\">Ce que \u00e7a veut dire pour vous<\/span>Les \u00ab&nbsp;serveurs pi\u00e8ges&nbsp;\u00bb pris en contr\u00f4le sont des leurres install\u00e9s par un chercheur, pas des entreprises. Mais ils \u00e9taient configur\u00e9s comme des milliers de sites r\u00e9els. <strong>Si l\u2019attaque a fonctionn\u00e9 sur eux, elle fonctionne sur ces sites.<\/strong> Plus de 5&nbsp;millions de serveurs PHP sont expos\u00e9s sur Internet selon VirusTotal.<\/p><\/div>\n<\/div>\n<p><strong>Le pr\u00e9c\u00e9dent \u00e0 garder en t\u00eate&nbsp;:<\/strong> en juillet 2026, la faille wp2shell, qui touchait directement WordPress, avait \u00e9t\u00e9 exploit\u00e9e massivement par plusieurs groupes d\u2019attaquants apr\u00e8s la publication d\u2019un code d\u2019attaque (<a href=\"https:\/\/www.mishcon.com\/news\/critical-wordpress-vulnerabilities-drive-active-global-exploitation\">Mishcon de Reya<\/a>). Le sc\u00e9nario de PHP2Shell suit le m\u00eame chemin.<\/p>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">03<\/span>Pourquoi \u00e7a vous concerne (m\u00eame si vous n\u2019\u00eates pas \u00ab&nbsp;dans l\u2019informatique&nbsp;\u00bb)<\/h2>\n<p>PHP, vous ne le voyez jamais, mais il est partout. C\u2019est le moteur qui tourne derri\u00e8re&nbsp;:<\/p>\n<ul class=\"pn-art-chips\">\n<li>Sites WordPress (vitrines, blogs, boutiques WooCommerce)<\/li>\n<li>Drupal, Joomla, Magento<\/li>\n<li>Applications Laravel et outils m\u00e9tier<\/li>\n<li>Extranets et espaces clients<\/li>\n<li>Formulaires de devis \u00ab&nbsp;sur mesure&nbsp;\u00bb<\/li>\n<\/ul>\n<p>Si votre entreprise a un site web, il y a de fortes chances qu\u2019il tourne sur PHP.<\/p>\n<p><strong>Ce qu\u2019un attaquant peut faire avec cette faille&nbsp;:<\/strong> envoyer une simple requ\u00eate sur votre site, sans mot de passe ni compte, et ex\u00e9cuter ses propres commandes sur le serveur. Concr\u00e8tement&nbsp;:<\/p>\n<ul class=\"pn-art-grid\">\n<li><b>Vol<\/b>Voler les donn\u00e9es de vos clients (formulaires, comptes, commandes).<\/li>\n<li><b>Pi\u00e8ge<\/b>Installer une fausse page de paiement ou de connexion sur votre propre site.<\/li>\n<li><b>Usurpation<\/b>Utiliser votre serveur pour envoyer du spam ou attaquer d\u2019autres victimes, avec votre nom de domaine.<\/li>\n<li><b>Sabotage<\/b>D\u00e9figurer le site ou le chiffrer pour vous r\u00e9clamer une ran\u00e7on.<\/li>\n<\/ul>\n<p class=\"pn-art-quote\">\u00ab&nbsp;Mon site est trop petit pour int\u00e9resser quelqu\u2019un&nbsp;\u00bb ne tient pas.<\/p>\n<p>Ces attaques sont automatis\u00e9es. Des robots balaient Internet \u00e0 la recherche de serveurs non corrig\u00e9s. Ils ne choisissent pas leur cible, ils prennent ce qui est ouvert.<\/p>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">04<\/span>Ce que vous devez faire cette semaine<\/h2>\n<ol class=\"pn-art-do\">\n<li><p><strong>Identifiez qui g\u00e8re votre site.<\/strong> Une agence, un freelance, un h\u00e9bergeur (OVH, o2switch, Ionos\u2026), un salari\u00e9 en interne&nbsp;? C\u2019est \u00e0 cette personne que vous posez les questions suivantes.<\/p><\/li>\n<li><p><strong>Posez-lui ces trois questions, par \u00e9crit&nbsp;:<\/strong><\/p>\n<ul class=\"pn-art-q\">\n<li>\u00ab&nbsp;Quelle version de PHP tourne sur notre site&nbsp;?&nbsp;\u00bb<\/li>\n<li>\u00ab&nbsp;Est-elle corrig\u00e9e contre PHP2Shell (CVE-2026-109618 et 109619)&nbsp;?&nbsp;\u00bb<\/li>\n<li>\u00ab&nbsp;Si oui, depuis quand&nbsp;? Si non, quand&nbsp;?&nbsp;\u00bb<\/li>\n<\/ul><\/li>\n<li><p><strong>V\u00e9rifiez la r\u00e9ponse.<\/strong> Les versions corrig\u00e9es sont&nbsp;:<\/p>\n<div class=\"pn-art-tablewrap\">\n<table class=\"pn-art-table\">\n<caption>Grille de v\u00e9rification \u00b7 versions corrig\u00e9es le 21\/10\/2026<\/caption>\n<thead><tr><th scope=\"col\">Si votre site est en\u2026<\/th><th scope=\"col\">Il doit \u00eatre au minimum en\u2026<\/th><\/tr><\/thead>\n<tbody>\n<tr><th scope=\"row\">PHP 8.5<\/th><td><span class=\"pn-art-ok\">8.5.12<\/span><\/td><\/tr>\n<tr><th scope=\"row\">PHP 8.4<\/th><td><span class=\"pn-art-ok\">8.4.27<\/span><\/td><\/tr>\n<tr><th scope=\"row\">PHP 8.3<\/th><td><span class=\"pn-art-ok\">8.3.36<\/span><\/td><\/tr>\n<tr><th scope=\"row\">PHP 8.2<\/th><td><span class=\"pn-art-ok\">8.2.35<\/span><span class=\"pn-art-note\">Fin de support officielle le 31 d\u00e9cembre 2026&nbsp;: pr\u00e9voyez d\u00e9j\u00e0 la suite.<\/span><\/td><\/tr>\n<tr class=\"pn-art-ko-row\"><th scope=\"row\">PHP 8.1 ou plus ancien<\/th><td><span class=\"pn-art-ko\">\u26a0\ufe0f Pas de nouvelle version officielle&nbsp;: migration \u00e0 pr\u00e9voir<\/span><span class=\"pn-art-note\">L\u2019\u00e9quipe PHP a seulement publi\u00e9 des correctifs minimaux \u00e0 appliquer au code source (pour 7.4, 8.0 et 8.1), et certaines distributions Linux r\u00e9troportent le correctif&nbsp;: \u00e0 confirmer par \u00e9crit avec votre prestataire.<\/span><\/td><\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<div class=\"pn-art-box\">\n<span class=\"pn-art-kicker\">Pas \u00e0 pas<\/span>\n<h3>Comment v\u00e9rifier vous-m\u00eame votre version PHP<\/h3>\n<p style=\"margin-bottom:.4rem\"><strong>Sur un site WordPress<\/strong> (compte administrateur)&nbsp;:<\/p>\n<ul class=\"pn-art-path\" aria-label=\"Chemin dans WordPress\">\n<li>Outils<\/li><li class=\"pn-art-arrow\" aria-hidden=\"true\">\u2192<\/li><li>Sant\u00e9 du site<\/li><li class=\"pn-art-arrow\" aria-hidden=\"true\">\u2192<\/li><li>Informations<\/li><li class=\"pn-art-arrow\" aria-hidden=\"true\">\u2192<\/li><li>Serveur<\/li>\n<\/ul>\n<ul>\n<li>Lisez la ligne <strong>\u00ab&nbsp;Version de PHP&nbsp;\u00bb<\/strong> et comparez-la au tableau ci-dessus.<\/li>\n<li><strong>Autres sites<\/strong>&nbsp;: la version PHP est g\u00e9n\u00e9ralement affich\u00e9e (et r\u00e9glable) dans l\u2019espace client de votre h\u00e9bergeur, rubrique de configuration PHP de votre h\u00e9bergement.<\/li>\n<li>Notez la version et la date du jour&nbsp;: c\u2019est le d\u00e9but de votre \u00ab&nbsp;preuve \u00e9crite&nbsp;\u00bb.<\/li>\n<\/ul>\n<\/div>\n<div class=\"pn-art-callout pn-art-warn\" role=\"note\">\n<span class=\"pn-art-ico\" aria-hidden=\"true\">!<\/span>\n<div><p><span class=\"pn-art-ct\">Attention au pi\u00e8ge du num\u00e9ro de version<\/span>Certains serveurs (Debian, Ubuntu\u2026) installent le correctif <strong>sans changer le num\u00e9ro affich\u00e9<\/strong>. Un site peut donc indiquer \u00ab&nbsp;8.3.6&nbsp;\u00bb et \u00eatre prot\u00e9g\u00e9. Si le num\u00e9ro vous para\u00eet ancien, ne paniquez pas&nbsp;: demandez \u00e0 votre prestataire de confirmer par \u00e9crit que le correctif PHP2Shell est bien en place.<\/p><\/div>\n<\/div>\n<\/li>\n<li><p><strong>Si votre site tourne sur PHP 8.1 ou plus ancien, c\u2019est le vrai signal d\u2019alarme.<\/strong> Ces versions ne sont plus maintenues officiellement&nbsp;: votre site vivait d\u00e9j\u00e0 sans filet avant cette faille. Demandez un plan de migration, avec une date.<\/p><\/li>\n<\/ol>\n<h3 class=\"pn-art-h3\">Le mod\u00e8le d\u2019e-mail \u00e0 envoyer \u00e0 votre prestataire<\/h3>\n<p>Remplacez les \u00e9l\u00e9ments entre crochets. Cliquez dans le cadre pour tout s\u00e9lectionner, puis copiez (Ctrl+C ou \u2318+C).<\/p>\n<div class=\"pn-art-mail\">\n<div class=\"pn-art-mail-bar\"><span>\u2709 Mod\u00e8le pr\u00eat \u00e0 copier<\/span><span>Objet inclus<\/span><\/div>\n<pre>Objet : [Nom du site] \u2013 correctif de s\u00e9curit\u00e9 PHP2Shell (CVE-2026-109618 \/ CVE-2026-109619)\n\nBonjour [Pr\u00e9nom],\n\nDeux failles critiques de PHP, surnomm\u00e9es PHP2Shell (CVE-2026-109618 et CVE-2026-109619, gravit\u00e9 9,2\/10), ont \u00e9t\u00e9 corrig\u00e9es le 21 octobre 2026 dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.\n\nPouvez-vous me confirmer par \u00e9crit, d\u2019ici le [date] :\n\n1. Quelle version de PHP tourne sur notre site [adresse du site], ainsi que sur nos autres sites ou espaces en ligne que vous g\u00e9rez ?\n2. Est-elle corrig\u00e9e contre PHP2Shell ? Si oui, depuis quelle date ? Si non, \u00e0 quelle date le sera-t-elle ?\n3. Si nous sommes en PHP 8.1 ou plus ancien : quel est votre plan de migration, et \u00e0 quelle date ?\n4. Si le site n\u2019\u00e9tait pas corrig\u00e9 d\u00e8s le 21 octobre : pouvez-vous v\u00e9rifier qu\u2019aucune intrusion n\u2019a eu lieu depuis le 17 octobre (fichiers modifi\u00e9s, comptes administrateurs inconnus, comportements anormaux) et m\u2019envoyer un court compte rendu ?\n\nMerci d\u2019avance pour votre retour.\n\n[Votre nom]\n[Entreprise \u2013 t\u00e9l\u00e9phone]<\/pre>\n<\/div>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">05<\/span>Les fausses bonnes id\u00e9es<\/h2>\n<ul class=\"pn-art-myths\">\n<li><div class=\"pn-art-myth\">\u00ab&nbsp;On a un pare-feu, on est prot\u00e9g\u00e9s.&nbsp;\u00bb<\/div><div class=\"pn-art-real\">Les r\u00e8gles de filtrage d\u00e9ploy\u00e9es en urgence bloquent les attaques connues. L\u2019\u00e9quipe PHP elle-m\u00eame le r\u00e9p\u00e8te&nbsp;: <strong>seule la mise \u00e0 jour corrige le probl\u00e8me.<\/strong><\/div><\/li>\n<li><div class=\"pn-art-myth\">\u00ab&nbsp;On a un antivirus.&nbsp;\u00bb<\/div><div class=\"pn-art-real\">Il prot\u00e8ge vos ordinateurs, <strong>pas le serveur<\/strong> qui h\u00e9berge votre site.<\/div><\/li>\n<li><div class=\"pn-art-myth\">\u00ab&nbsp;Notre h\u00e9bergeur s\u2019en occupe forc\u00e9ment.&nbsp;\u00bb<\/div><div class=\"pn-art-real\">Parfois oui, parfois non. Sur un h\u00e9bergement mutualis\u00e9, c\u2019est souvent vous (ou votre prestataire) qui choisissez la version de PHP. <strong>Ne supposez pas&nbsp;: v\u00e9rifiez.<\/strong><\/div><\/li>\n<\/ul>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">06<\/span>Et si vous d\u00e9couvrez que le site n\u2019\u00e9tait pas \u00e0 jour&nbsp;?<\/h2>\n<p>Mettre \u00e0 jour ferme la porte. Mais la porte est peut-\u00eatre rest\u00e9e ouverte plusieurs jours. Demandez aussi \u00e0 votre prestataire de v\u00e9rifier qu\u2019aucune intrusion n\u2019a eu lieu depuis le <strong>17 octobre<\/strong> (date de la premi\u00e8re tentative connue) jusqu\u2019au jour de la mise \u00e0 jour&nbsp;:<\/p>\n<ul class=\"pn-art-list\">\n<li><strong>fichiers modifi\u00e9s<\/strong> sur le serveur&nbsp;;<\/li>\n<li><strong>comptes administrateurs inconnus<\/strong>&nbsp;;<\/li>\n<li><strong>comportements anormaux<\/strong> du site.<\/li>\n<\/ul>\n<div class=\"pn-art-callout pn-art-tip\" role=\"note\">\n<span class=\"pn-art-ico\" aria-hidden=\"true\">\u2713<\/span>\n<div><p><span class=\"pn-art-ct\">Astuce&nbsp;: n\u2019affichez pas votre version aux robots<\/span>Beaucoup de serveurs annoncent leur version de PHP dans les en-t\u00eates techniques de chaque page (<code>X-Powered-By<\/code>). C\u2019est pr\u00e9cis\u00e9ment ce que lisaient les scripts de rep\u00e9rage d\u00e9couverts par SOCRadar. Demandez \u00e0 votre prestataire de masquer cette information (r\u00e9glage <code>expose_php = Off<\/code>). <strong>\u00c7a ne remplace pas la mise \u00e0 jour<\/strong>, mais \u00e7a \u00e9vite de servir la liste de courses aux attaquants.<\/p><\/div>\n<\/div>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">07<\/span>Les prochains mois&nbsp;: ce qui risque d\u2019arriver<\/h2>\n<span class=\"pn-art-tag\">Analyse \u00b7 pas une certitude<\/span>\n<p>Le correctif existe, mais l\u2019histoire ne s\u2019arr\u00eate pas l\u00e0. Voici les cons\u00e9quences les plus probables, du plus court au plus long terme.<\/p>\n<ul class=\"pn-art-list\">\n<li><strong>Les semaines qui viennent&nbsp;: la vague automatis\u00e9e.<\/strong> Une fois les d\u00e9tails techniques publics, les attaques passent des sp\u00e9cialistes aux robots. Les premi\u00e8res victimes seront les sites oubli\u00e9s&nbsp;: vieux WordPress jamais mis \u00e0 jour, sites de campagne, mini-sites d\u2019\u00e9v\u00e9nements encore en ligne.<\/li>\n<li><strong>Les intrusions d\u00e9couvertes en retard.<\/strong> Un serveur compromis avant le correctif peut le rester apr\u00e8s. Certaines entreprises d\u00e9couvriront dans plusieurs mois qu\u2019un acc\u00e8s a \u00e9t\u00e9 install\u00e9 en octobre&nbsp;: fuite de donn\u00e9es, pages pi\u00e9g\u00e9es, serveur revendu \u00e0 d\u2019autres pirates.<\/li>\n<li><strong>La fin forc\u00e9e des vieilles versions.<\/strong> Les sites encore en PHP 8.1 ou plus ancien n\u2019ont pas de nouvelle version officielle (seulement des correctifs minimaux \u00e0 appliquer au code source, ou des r\u00e9troportages de certaines distributions). On peut s\u2019attendre \u00e0 ce que des h\u00e9bergeurs durcissent le ton et poussent, voire imposent, la mont\u00e9e de version. Pour certains sites, \u00e7a voudra dire une refonte non pr\u00e9vue au budget.<\/li>\n<li><strong>Les assureurs et les clients vont poser des questions.<\/strong> Une faille de cette ampleur alimente les questionnaires des assureurs cyber et des grands donneurs d\u2019ordre&nbsp;: \u00ab&nbsp;Comment g\u00e9rez-vous les mises \u00e0 jour critiques&nbsp;? En combien de temps&nbsp;?&nbsp;\u00bb Mieux vaut avoir une r\u00e9ponse \u00e9crite.<\/li>\n<li><strong>Pour les entreprises concern\u00e9es par NIS2<\/strong>, la gestion des vuln\u00e9rabilit\u00e9s fait partie des obligations attendues. Un \u00e9pisode comme PHP2Shell est exactement le genre de situation o\u00f9 l\u2019on vous demandera de prouver ce que vous avez fait, et quand.<\/li>\n<\/ul>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">08<\/span>L\u2019avenir des sites web et de l\u2019offre cyber pour les PME<\/h2>\n<span class=\"pn-art-tag\">Analyse \u00b7 pas une certitude<\/span>\n<p>PHP2Shell n\u2019est pas un accident isol\u00e9. C\u2019est le sympt\u00f4me d\u2019un mod\u00e8le qui ne tient plus&nbsp;: <strong>le site web achet\u00e9 une fois, livr\u00e9, puis oubli\u00e9.<\/strong><\/p>\n<ul class=\"pn-art-list\">\n<li><strong>Un site n\u2019est plus un achat, c\u2019est un abonnement.<\/strong> Un site sans maintenance est un serveur ouvert sur Internet que personne ne surveille. Le co\u00fbt r\u00e9el d\u2019un site, c\u2019est sa cr\u00e9ation plus son entretien de s\u00e9curit\u00e9, chaque mois.<\/li>\n<li><strong>Les plateformes g\u00e9r\u00e9es vont gagner du terrain.<\/strong> Pour beaucoup de PME, un site vitrine h\u00e9berg\u00e9 sur une plateforme qui g\u00e8re elle-m\u00eame les mises \u00e0 jour sera plus s\u00fbr qu\u2019un WordPress install\u00e9 en 2019 et jamais revu.<\/li>\n<li><strong>L\u2019offre cyber pour les petites structures va se d\u00e9velopper.<\/strong> Veille sur les failles, v\u00e9rification des mises \u00e0 jour, audit simple de ce qui est expos\u00e9 sur Internet&nbsp;: ces services, longtemps r\u00e9serv\u00e9s aux grandes entreprises, deviennent n\u00e9cessaires pour une PME de dix personnes. Et ils devront \u00eatre expliqu\u00e9s en fran\u00e7ais, pas en jargon.<\/li>\n<\/ul>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">09<\/span>Les opportunit\u00e9s \u00e0 saisir<\/h2>\n<span class=\"pn-art-tag\">Analyse \u00b7 pas une certitude<\/span>\n<p>Une crise comme celle-ci a un avantage&nbsp;: elle donne une bonne raison de faire ce qu\u2019on repoussait depuis des ann\u00e9es. Pour une PME, voici ce qu\u2019il y a \u00e0 gagner.<\/p>\n<ul class=\"pn-art-list\">\n<li><strong>Faire l\u2019inventaire de ce qui est en ligne.<\/strong> Site principal, ancien site, boutique, extranet, formulaire de devis, page d\u2019un salon de 2021\u2026 Profitez de l\u2019\u00e9pisode pour lister tout ce qui est expos\u00e9 sur Internet. Ce qui n\u2019a pas de raison d\u2019exister se ferme.<\/li>\n<li><strong>Ren\u00e9gocier votre contrat de maintenance.<\/strong> C\u2019est le bon moment pour demander \u00e0 votre prestataire un engagement \u00e9crit&nbsp;: d\u00e9lai de correction des failles critiques, compte rendu apr\u00e8s chaque intervention. Un prestataire s\u00e9rieux accepte. Celui qui refuse vous donne une information pr\u00e9cieuse.<\/li>\n<li><strong>Faire de la s\u00e9curit\u00e9 un argument commercial.<\/strong> Vos clients et donneurs d\u2019ordre posent de plus en plus la question. Pouvoir r\u00e9pondre \u00ab&nbsp;nous avons corrig\u00e9 en 48&nbsp;h et nous avons une proc\u00e9dure&nbsp;\u00bb vous distingue de concurrents qui ne savent pas de quoi on parle.<\/li>\n<li><strong>Pr\u00e9parer votre dossier d\u2019assurance cyber.<\/strong> Une proc\u00e9dure de mise \u00e0 jour document\u00e9e, avec des dates, est exactement ce que les assureurs demandent. Ce que vous \u00e9crivez aujourd\u2019hui servira \u00e0 votre prochain renouvellement.<\/li>\n<li><strong>Moderniser au lieu de rafistoler.<\/strong> Si votre site tourne sur une version de PHP abandonn\u00e9e, la mise \u00e0 jour forc\u00e9e est l\u2019occasion de repartir sur une base saine, plus rapide et plus simple \u00e0 entretenir, plut\u00f4t que de colmater un site vieillissant.<\/li>\n<\/ul>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">10<\/span>L\u2019avis de Pavillon Noir<\/h2>\n<span class=\"pn-art-tag\">Opinion<\/span>\n<p><strong>Le vrai probl\u00e8me n\u2019est pas PHP.<\/strong> PHP a fait son travail&nbsp;: le correctif a \u00e9t\u00e9 pr\u00e9par\u00e9 sous embargo, en toute discr\u00e9tion, avant l\u2019annonce, et quand les d\u00e9tails ont fuit\u00e9, sa publication a \u00e9t\u00e9 avanc\u00e9e d\u2019un jour, du 22 au 21&nbsp;octobre. Le vrai probl\u00e8me, c\u2019est le <strong>site orphelin<\/strong>&nbsp;: celui dont personne ne sait vraiment qui s\u2019occupe.<\/p>\n<p>Dans beaucoup de PME, le site a \u00e9t\u00e9 fait par \u00ab&nbsp;le neveu&nbsp;\u00bb, par une agence qui a ferm\u00e9, ou par un freelance qu\u2019on n\u2019a plus rappel\u00e9 depuis trois ans. Il tourne. Personne n\u2019y touche. Jusqu\u2019au jour o\u00f9 il sert \u00e0 voler les donn\u00e9es de vos clients.<\/p>\n<p>Ma position est simple&nbsp;:<\/p>\n<ol class=\"pn-art-stance\">\n<li><span><strong>Chaque site doit avoir un responsable nomm\u00e9.<\/strong> Une personne, pas \u00ab&nbsp;l\u2019informatique&nbsp;\u00bb.<\/span><\/li>\n<li><span><strong>Chaque contrat de maintenance doit fixer un d\u00e9lai pour les failles critiques.<\/strong> Quelques jours au maximum, pas \u00ab&nbsp;d\u00e8s que possible&nbsp;\u00bb.<\/span><\/li>\n<li><span><strong>Un site que personne n\u2019entretient doit \u00eatre ferm\u00e9.<\/strong> Un vieux site oubli\u00e9 rapporte z\u00e9ro et peut co\u00fbter tr\u00e8s cher.<\/span><\/li>\n<\/ol>\n<p>PHP2Shell sera oubli\u00e9 dans six mois. La prochaine faille, elle, arrivera. La seule diff\u00e9rence entre les entreprises qui la subiront et les autres sera d\u00e9cid\u00e9e maintenant&nbsp;: <strong>qui est responsable, et en combien de temps il agit.<\/strong><\/p>\n<div class=\"pn-art-key\" role=\"region\" aria-label=\"\u00c0 retenir\">\n<span class=\"pn-art-kicker\">\/\/ \u00c0 retenir<\/span>\n<p>Une faille critique n\u2019est pas un probl\u00e8me technique, c\u2019est une question de gestion&nbsp;: <strong>qui est responsable de mon site, et peut-il me prouver qu\u2019il est \u00e0 jour&nbsp;?<\/strong> Si vous ne savez pas r\u00e9pondre \u00e0 cette question aujourd\u2019hui, c\u2019est elle qu\u2019il faut r\u00e9gler, bien avant PHP2Shell.<\/p>\n<\/div>\n<h2 class=\"pn-art-h2\"><span class=\"pn-art-num\">11<\/span>Petit glossaire<\/h2>\n<dl class=\"pn-art-gloss\">\n<div><dt>PHP<\/dt><dd>Langage de programmation qui fabrique les pages d\u2019une grande partie des sites web, c\u00f4t\u00e9 serveur. Vous ne le voyez pas, mais il travaille \u00e0 chaque visite.<\/dd><\/div>\n<div><dt>RCE<\/dt><dd><em>Remote Code Execution<\/em>, ex\u00e9cution de code \u00e0 distance&nbsp;: un attaquant fait ex\u00e9cuter ses propres commandes \u00e0 votre serveur, depuis Internet.<\/dd><\/div>\n<div><dt>CVE<\/dt><dd><em>Common Vulnerabilities and Exposures<\/em>&nbsp;: le num\u00e9ro d\u2019identit\u00e9 unique d\u2019une faille (ex.&nbsp;: CVE-2026-109618). Pratique pour parler de la m\u00eame chose que votre prestataire.<\/dd><\/div>\n<div><dt>CVSS<\/dt><dd>Note de gravit\u00e9 d\u2019une faille, de 0 \u00e0 10. De 9,0 \u00e0 10, la faille est class\u00e9e \u00ab&nbsp;critique&nbsp;\u00bb. PHP2Shell&nbsp;: 9,2 (CVSS version 4.0).<\/dd><\/div>\n<div><dt>Correctif (patch)<\/dt><dd>Mise \u00e0 jour qui supprime la faille. Ici, les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP.<\/dd><\/div>\n<div><dt>Serveur pi\u00e8ge (honeypot)<\/dt><dd>Faux serveur volontairement expos\u00e9 par des chercheurs pour observer les attaques r\u00e9elles sans mettre de vraies donn\u00e9es en jeu.<\/dd><\/div>\n<\/dl>\n<div class=\"pn-art-cta\">\n<p class=\"pn-art-cta-t\">Besoin d\u2019un regard ext\u00e9rieur&nbsp;?<\/p>\n<p>Pavillon Noir peut v\u00e9rifier votre site&nbsp;: version de PHP, ce qui est expos\u00e9 sur Internet, et les bonnes questions \u00e0 poser \u00e0 votre prestataire.<\/p>\n<\/div>\n<div class=\"pn-art-src\">\n<h2 class=\"pn-art-h2\">Sources<\/h2>\n<ol>\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\">Avis de s\u00e9curit\u00e9 officiel PHP (21 oct. 2026)<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/php\/php-src\/releases\/tag\/php-8.4.27\">Note de version PHP 8.4.27 \u2014 GitHub php-src<\/a><\/li>\n<li><a href=\"https:\/\/bleepingcomputer.com\/news\/security\/php-ships-emergency-patches-for-critical-php2shell-flaws\">BleepingComputer \u2014 PHP ships emergency patches for critical PHP2Shell flaws<\/a><\/li>\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild\/\">BleepingComputer \u2014 PHP2Shell security flaws now successfully exploited in the wild<\/a><\/li>\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/php-shares-mitigation-for-new-and-unpatched-rce-vulnerability\/\">BleepingComputer \u2014 PHP shares mitigation for new RCE vulnerability with no patch (CVE-2026-115560, chiffre VirusTotal)<\/a><\/li>\n<li><a href=\"https:\/\/aws.amazon.com\/blogs\/security\/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\/\">Amazon Threat Intelligence \u2014 PHP2Shell exploitation prior to public disclosure (MadPot)<\/a><\/li>\n<li><a href=\"https:\/\/watchtowr.com\/intelligence\/php-remote-code-execution-php2shell\/\">watchTowr \u2014 PHP2Shell RCE exploited<\/a><\/li>\n<li><a href=\"https:\/\/socradar.io\/blog\/php2shell-cve-2026-109618-cve-2026-109619\/\">SOCRadar \u2014 PHP2Shell (CVE-2026-109618, CVE-2026-109619)<\/a><\/li>\n<li><a href=\"https:\/\/socradar.io\/blog\/php2shell-exploit-tooling-attacker-server\/\">SOCRadar \u2014 PHP2Shell exploit tooling found on exposed attacker server<\/a><\/li>\n<li><a href=\"https:\/\/www.infosecurity-magazine.com\/news\/php2shell-exploitation-attempt\/\">Infosecurity Magazine \u2014 PHP2Shell exploitation attempt detected four days before disclosure<\/a><\/li>\n<li><a href=\"https:\/\/rescana.com\/post\/php-rce-flaws-patch-october-2026-prepare-now\">Rescana \u2014 Two critical PHP vulnerabilities fixed<\/a><\/li>\n<li><a href=\"https:\/\/www.mishcon.com\/news\/critical-wordpress-vulnerabilities-drive-active-global-exploitation\">Mishcon de Reya \u2014 Critical WordPress vulnerabilities drive active global exploitation (wp2shell)<\/a><\/li>\n<li><a href=\"https:\/\/www.bitsight.com\/blog\/critical-vulnerability-alert-cve-2026-109618-and-cve-2026-109619-php2shell\">Bitsight \u2014 Analyse PHP2Shell<\/a><\/li>\n<li><a href=\"https:\/\/jacar.es\/?p=8431\">Jacar \u2014 V\u00e9rifier sa version PHP et le pi\u00e8ge des paquets de distribution<\/a><\/li>\n<\/ol>\n<p class=\"pn-art-src-sub\">Pour aller plus loin (en fran\u00e7ais et officiels)<\/p>\n<ol>\n<li><a href=\"https:\/\/www.cert.cyber.gouv.fr\/alerte\/CERTFR-2026-ALE-014\/\">CERT-FR \u2014 Alerte CERTFR-2026-ALE-014&nbsp;: multiples vuln\u00e9rabilit\u00e9s dans PHP<\/a><\/li>\n<li><a href=\"https:\/\/www.cybermalveillance.gouv.fr\/tous-nos-contenus\/actualites\/alerte-cyber-failles-de-securite-critiques-dans-php-202610\">Cybermalveillance.gouv.fr \u2014 AlerteCyber&nbsp;: failles de s\u00e9curit\u00e9 critiques dans PHP<\/a><\/li>\n<li><a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/10\/21\/critical-vulnerabilities-php-require-immediate-patching\">CISA \u2014 Critical vulnerabilities in PHP require immediate patching<\/a><\/li>\n<li><a href=\"https:\/\/blog.cloudflare.com\/php-vulnerabilities-waf-protection\/\">Cloudflare \u2014 Protections d\u00e9ploy\u00e9es contre php2shell<\/a><\/li>\n<\/ol>\n<\/div>\n<p class=\"pn-art-sign\"><span aria-hidden=\"true\"><\/span>Pavillon Noir \u2014 La cyber, sans le charabia.<\/p>\n<\/div>\n\n","protected":false},"excerpt":{"rendered":"<p>Deux failles critiques de PHP (9,2\/10) permettent de prendre le contr\u00f4le d\u2019un serveur \u00e0 distance, et une premi\u00e8re attaque r\u00e9ussie vient d\u2019\u00eatre confirm\u00e9e. Le correctif existe depuis le 21 octobre : voici comment v\u00e9rifier, en un e-mail, que votre site l\u2019a re\u00e7u.<\/p>\n","protected":false},"author":1,"featured_media":186,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8],"tags":[14,13,16,17,15],"class_list":["post-185","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-reseau","tag-php","tag-php2shell","tag-pme","tag-vulnerabilites","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/posts\/185","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/comments?post=185"}],"version-history":[{"count":1,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/posts\/185\/revisions"}],"predecessor-version":[{"id":187,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/posts\/185\/revisions\/187"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/media\/186"}],"wp:attachment":[{"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/media?parent=185"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/categories?post=185"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/pavillon-noir.tech\/index.php\/wp-json\/wp\/v2\/tags?post=185"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}