Faille PHP « Black October » : le guide pas à pas pour vous protéger
Vous avez vu ma vidéo et ça allait trop vite ? Ici, on reprend tout, tranquillement, étape par étape.
Ce qui s’est passé, en 30 secondes
Environ 70 % des sites web du monde tournent sur le même moteur : PHP. Tous les sites WordPress en font partie.
Le 21 octobre 2026, deux failles critiques ont été rendues publiques dans ce moteur. En clair : quelqu’un peut prendre le contrôle d’un site à distance. Sans mot de passe.
Le plus troublant ? Ces failles dormaient dans PHP depuis des années. Et c’est une IA qui les a trouvées.
Les détails ont fuité la veille de la publication du correctif. Résultat : panique générale.
→ En France, le ministère de l’Intérieur a coupé les sites des préfectures, à la demande de l’ANSSI.
→ Aux Pays-Bas, des sites d’hôpitaux et le port de Rotterdam ont été mis hors ligne.
→ La NSA a recommandé de mettre à jour, ou de débrancher.
Toutes ces coupures étaient des précautions. Au 22 octobre, aucun piratage réussi via cette faille n’était confirmé. Mais des millions de tentatives ont été repérées. Donc on agit maintenant.
Suis-je concerné ?
→ Vous avez un site (WordPress, boutique en ligne, site de club, d’association…) : oui, directement. Suivez l’étape 1.
→ Vous n’avez pas de site : vos données sont peut-être sur des sites qui, eux, ne sont pas à jour. Suivez les étapes 2 et 3.
Étape 1 — Vous avez un site WordPress
Le piège à éviter
Mettre WordPress à jour ne suffit pas. La faille n’est pas dans WordPress, elle est dans PHP, le moteur qui le fait tourner sur le serveur de votre hébergeur. Il faut vérifier les deux.
1.a. Vérifier votre version de PHP
Dans votre tableau de bord WordPress :
- Cliquez sur Outils, puis Santé du site.
- Ouvrez l’onglet Infos.
- Dépliez la section Serveur.
- Regardez la ligne Version de PHP.
J’ai fait le test sur mon propre site : version 8.4.27. Je suis protégée contre cette faille.
1.b. Comparer avec les versions corrigées
| Votre version commence par… | Version corrigée officielle |
|---|---|
| 8.5 | 8.5.12 ou plus |
| 8.4 | 8.4.27 ou plus |
| 8.3 | 8.3.36 ou plus |
| 8.2 | 8.2.35 ou plus |
| 8.1, 8.0, 7.x ou 5.x | Aucune version officielle. Certains hébergeurs les corrigent eux-mêmes, mais le plus sûr reste de passer à une version récente. |
Votre version est égale ou supérieure ? Vous êtes protégé.
Votre version semble plus basse ? Pas de panique. Certains hébergeurs appliquent le correctif de sécurité sans changer le numéro affiché. Le chiffre dans WordPress ne suffit donc pas toujours à savoir. Dans ce cas, c’est votre hébergeur qui a la réponse : passez à l’étape 1.c.
(Merci à Fabrice pour la précision en commentaire.)
1.c. Si votre version semble trop basse : demandez à votre hébergeur
Sur un hébergement classique (OVH, o2switch, Hostinger, Infomaniak…), c’est l’hébergeur qui installe le correctif sur ses serveurs. Le plus simple : lui écrire.
Message à copier-coller :
Bonjour, Mon site [adresse de votre site] utilise PHP [votre version]. Pouvez-vous me confirmer qu’il est protégé contre les failles CVE-2026-109618 et CVE-2026-109619 (« PHP2Shell ») ? Si ce n’est pas le cas, pouvez-vous appliquer la mise à jour ? Merci.
Si vous êtes en 8.1 ou plus ancien, passez à 8.3 ou 8.4 depuis votre espace client. Le réglage s’appelle souvent « Version PHP » ou « Configuration PHP ». Le chemin varie selon l’hébergeur : en cas de doute, demandez-lui.
1.d. Mettre WordPress à jour (par hygiène)
- Faites une sauvegarde (beaucoup d’hébergeurs le font automatiquement, vérifiez).
- Tableau de bord → Mises à jour.
- Mettez à jour WordPress, puis les extensions, puis le thème.
Votre site n’est pas sous WordPress ? Il a été fait par une agence ?
Même logique : Drupal, Joomla, PrestaShop et beaucoup d’autres tournent aussi sur PHP. Envoyez le message ci-dessus à votre hébergeur ou à la personne qui gère votre site.
Votre site a été coupé par votre hébergeur ?
C’est probablement une précaution, comme l’a fait par exemple l’hébergeur suisse Cyon. Vérifiez vos e-mails et la page d’état de votre hébergeur avant de paniquer.
Étape 2 — Pour tout le monde : la double authentification
C’est quoi ?
En plus de votre mot de passe, le site vous demande un code reçu sur votre téléphone (par SMS ou dans une application). Même si votre mot de passe fuit, le pirate reste bloqué : il n’a pas votre téléphone.
Où l’activer en priorité
→ Votre e-mail. C’est la clé de tous vos autres comptes : avec, on peut réinitialiser tous vos mots de passe. Sur Gmail : Compte Google → Sécurité → Validation en deux étapes.
→ Vos réseaux sociaux. Sur Instagram : Paramètres → Espace comptes → Mot de passe et sécurité → Authentification à deux facteurs.
→ Votre banque. La plupart l’ont déjà rendue obligatoire via leur appli. Vérifiez simplement que votre numéro de téléphone est à jour.
Les menus changent régulièrement. Si vous ne trouvez pas, tapez « double authentification » suivi du nom du service dans un moteur de recherche.
Petit hint : quand c’est possible, une application d’authentification (Google Authenticator, Microsoft Authenticator…) est plus sûre que le SMS.
Étape 3 — Ces prochains jours : méfiez-vous des faux messages
Les escrocs adorent les actus qui font peur. Attendez-vous à des e-mails ou SMS du genre :
« Suite à une faille de sécurité, veuillez vous reconnecter pour sécuriser votre compte. »
Le réflexe
→ Ne cliquez pas sur le lien.
→ Allez sur le site par vous-même, en tapant l’adresse ou via l’appli officielle.
→ S’il y a vraiment un problème, vous le verrez une fois connecté.
Signaler
→ SMS frauduleux : transférez-le au 33700.
→ E-mail frauduleux : signal-spam.fr.
→ Vous pensez être victime : cybermalveillance.gouv.fr.
Et l’IA dans tout ça ?
L’IA n’a pas déclenché la panique. C’est une fuite, une erreur bien humaine.
Elle a même fait l’inverse : elle a trouvé une faille que personne n’avait vue depuis des années.
Mais elle change l’échelle. Le même mois, Reuters a révélé qu’une seule personne avait lancé des IA sur 1 200 sites avec un outil appelé Cairn. Plus de 100 sont tombés. Pour environ 50 dollars par site piraté.
Le piratage était déjà une industrie. L’IA la rend moins chère. Et quand attaquer coûte le prix d’un resto, tout le monde devient une cible.
D’où l’intérêt de fermer sa porte.
En résumé
→ Un site ? Vérifiez votre version de PHP (Outils → Santé du site → Infos → Serveur) et comparez avec le tableau. Au moindre doute, écrivez à votre hébergeur : c’est lui qui a le dernier mot.
→ Tout le monde : double authentification, en commençant par votre e-mail.
→ Ces prochains jours : aucun lien cliqué dans un message qui vous demande de vous reconnecter.
Comprendre l’IA pour ne pas la subir, c’est aussi ça.
Sources
- Alerte CERT-FR / ANSSI sur les failles PHP
- Actu17 — sites des préfectures coupés
- France 24 — qu’est-ce que PHP ?
- CNN — une IA a trouvé la faille
- Reuters (via Global Banking & Finance) — sites mis hors ligne en Europe
- The Next Web — millions de tentatives, aucune intrusion confirmée
- The Next Web — l’affaire Cairn
- Cybermalveillance.gouv.fr
Article relu par Claude
En savoir plus sur Ninon.ia
Subscribe to get the latest posts sent to your email.