Une faille grave touche PHP,
le moteur de nombreux sites web.
Une grande partie des sites d’entreprise et des boutiques en ligne fonctionnent avec PHP. En octobre 2026, une faille permettant à un tiers de prendre le contrôle d’un site à distance a été découverte dans PHP, et son exploitation a déjà été confirmée. Vous ne savez pas si votre site est concerné ? Posez-nous la question : le premier échange est gratuit.
Indiquez simplement l’URL de votre site dans le formulaire. Le premier échange est gratuit. Équipes techniques : voir le détail de la vulnérabilité.
PHP, qu’est-ce que c’est ? Mon entreprise est-elle concernée ?
Qu’est-ce que PHP ?
Un langage de programmation qui fait fonctionner de nombreux sites en coulisses. WordPress et EC-CUBE (très utilisé pour créer des boutiques en ligne) sont écrits en PHP. Cela ne se voit pas à l’écran, mais les sites dotés d’un formulaire de contact ou d’un espace membre l’utilisent souvent.
Que s’est-il passé ?
Une faille permet à un tiers, sans se connecter, d’envoyer des instructions au serveur depuis l’extérieur. Exploitée, elle peut mener à la modification du site, au vol de données clients ou à l’installation de programmes malveillants.
Que faut-il faire ?
Mettre PHP à jour vers une version corrigée. Les grands hébergeurs l’ont souvent déjà fait. En revanche, un serveur géré par votre entreprise ou par votre prestataire web reste sur l’ancienne version tant que personne ne le met à jour.
Un contrôle est recommandé si :
- votre site a été créé avec WordPress
- vous gérez vous-même une boutique en ligne ou un espace membre
- votre site a été réalisé par une agence web, sans contrat de maintenance, ou avec un contrat dont vous ignorez le contenu
- vous ne savez pas qui administre le serveur
Inutile d’être expert pour nous contacter.
Envoyez-nous l’URL de votre site : nous commençons par vérifier s’il utilise PHP. Le premier échange est gratuit, et si votre site n’est pas concerné, nous vous le disons clairement.
Vous souhaitez vérifier auprès de votre agence web ou de votre prestataire de maintenance ? Un message prêt à envoyer
Envoyez le message ci-dessous (en japonais) à l’agence qui a créé votre site ou à votre prestataire de maintenance.
当社のホームページ（URL： ）について、次の2点を教えてください。
① 使っているPHPのバージョン
② 2026年10月21日に公開されたPHPの修正版（PHP2Shell／CVE-2026-109618・109619 への対策）が適用済みかどうか Pas de réponse, ou une réponse difficile à interpréter ? Contactez-nous, en nous transmettant la réponse telle quelle le cas échéant.
PHP2Shell (CVE-2026-109618 / 109619) : le détail
Le 21 octobre 2026, le projet PHP a publié les correctifs de deux vulnérabilités graves. Toutes deux peuvent permettre l’exécution de code sur le serveur sans authentification.
CVSS v4.0. Les deux failles sont classées « critiques ». Elles ne nécessitent pas d’authentification et peuvent permettre l’exécution de code à distance.
PHP-FPM, Apache + mod_php, php-cgi, FrankenPHP et LiteSpeed. L’avis officiel de PHP considère mod_php comme la configuration la plus exposée.
Le 26 octobre 2026 (heure locale), la CISA américaine a ajouté les deux failles à son catalogue des vulnérabilités exploitées (KEV). L’IPA japonaise a mis à jour son alerte le 27 octobre.
- Versions corrigées
- 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
- Versions touchées
- Les versions antérieures. PHP 8.1 et les versions plus anciennes ne sont plus prises en charge et ne reçoivent pas de correctif officiel.
Votre site est-il concerné ?
Répondez à quatre questions pour connaître le niveau de priorité. Vos réponses ne sont pas envoyées : le résultat est calculé dans votre navigateur. Si vous ne savez pas, choisissez « Je ne sais pas ».
Trois points d’entrée
Classés par degré d’urgence. Tous les prix sont hors taxes ; nous intervenons après la signature d’un accord écrit sur le périmètre.
Triage d’urgence PHP
Nous répondons sous 48 heures à la question « sommes-nous touchés ? ». En plus du diagnostic, nous vous remettons les mesures temporaires à appliquer dès ce soir et leur mode opératoire.
- Identification de la version et du mode d’exécution (mod_php, FPM, CGI, etc.)
- Vérification de l’application des correctifs à partir des paquets installés
- Mesures temporaires et mode opératoire
- Mise à jour directe possible ou migration nécessaire
- Contrôle rapide des fichiers et processus suspects
- Rapport : synthèse d’une page pour la direction et détail technique
PHP Security Check
Nous examinons la sécurité de vos environnements PHP et établissons les mesures nécessaires et leur ordre de priorité. Adapté aussi aux agences et intégrateurs qui veulent vérifier plusieurs environnements clients.
- Version de PHP, état des correctifs et mode d’exécution
- Système d’exploitation, serveur web et gestion des paquets
- Exposition à la faille actuelle et versions en fin de support
- Contrôle des paramètres risqués (limites de mémoire, d’envoi de fichiers, etc.)
- Priorités, recommandations et estimation des coûts
- Rapport : synthèse d’une page pour la direction et détail technique
Application des correctifs PHP
Nous appliquons les mises à jour de sécurité au sein d’une même branche (par exemple 8.4.24 → 8.4.27), avec tests, validation et procédure de retour arrière. L’intervention touchant la production, ses conditions sont définies clairement au préalable.
- Étude préalable et vérification des sauvegardes
- Application en environnement de test et tests des fonctions convenues
- Mise en production après votre accord écrit
- Vérification du fonctionnement et des journaux d’erreurs après application
- Procédure de retour arrière et rapport de fin d’intervention
Autres formules
| Service | Prix (HT) | Contenu | Disponibilité |
|---|---|---|---|
| Audit web simplifié (urgence) | 150 000 yens HT | Périmètre limité à un domaine et environ 5 écrans principaux, en commençant par les points les plus risqués. Restitution téléphonique de 30 minutes comprise. Délai : 48 heures. | À partir de mi-novembre |
| Audit web simplifié (standard) | À partir de 100 000 yens HT | Analyse automatisée des URL et fonctions convenues, avec vérification humaine. Points de contrôle choisis selon l’OWASP WSTG. Jusqu’à environ 10 écrans. | À partir de mi-novembre |
| Migration de version PHP | À partir de 300 000 yens HT | Migration depuis une version en fin de support ou changement de branche : tests de compatibilité, tests de non-régression et bascule. | Disponible |
| Web Security Care | 30 000 yens HT par mois | Contrôle mensuel des versions, alerte avant la fin de support, évaluation de l’impact des nouvelles vulnérabilités, rapport mensuel et réponse à vos questions aux heures ouvrées. | Disponible |
| Refonte de code ancien | Sur devis | Correction des incompatibilités révélées par l’audit ou la migration. Faisabilité à discuter ensemble ; l’ampleur varie fortement selon les besoins, devis au cas par cas. | Disponible |
L’audit web simplifié est une version allégée, à utiliser avec la vérification PHP. Nous limitons le périmètre aux points les plus risqués et les résultats de l’analyse automatisée sont vérifiés par nos experts. Commandé avec la vérification PHP, il fait l’objet d’un rapport unique. Pour un audit complet de votre site, voir l’audit web et mobile ; pour vérifier qu’une attaque réelle aboutirait, le test d’intrusion.
Formules groupées
Commander ensemble simplifie les vérifications. Il ne s’agit pas de remises : nous réunissons les rapports et réservons les créneaux d’intervention.
Pack urgence
Triage d’urgence + application des correctifs
Du diagnostic à la remise en état, avec un interlocuteur unique et un créneau d’intervention prioritaire.
Pack bilan complet
PHP Security Check (3 environnements) + audit web simplifié
Votre environnement PHP et votre site dans un seul rapport.
Pack fin de support
PHP Security Check + migration de version
Le support de PHP 8.2 prend fin le 31 décembre 2026.
Pack annuel
Web Security Care + audit web simplifié (une fois par an)
Le suivi courant et le bilan annuel réunis.
Un diagnostic qui ne s’arrête pas au rapport
Un rapport ne sert que s’il est lu. Nous remettons une version pour la direction, qui doit décider, et une version pour les équipes, qui doivent agir.
| Critère | AEVUS | Prestation d’audit courante |
|---|---|---|
| Délai | Triage d’urgence sous 48 heures | 2 à 4 semaines |
| Livrables | Synthèse d’une page pour la direction et détail technique | Rapport technique seul |
| Responsabilité | Jusqu’à la procédure de retour arrière et au rapport de fin d’intervention | S’arrête à la remise du rapport |
| Qualité | Chaque livrable revu par notre responsable technique au Japon | Variable selon l’intervenant |
| Cadre | Accord écrit sur le périmètre avant toute intervention | Demande orale |
| Audit et correction | Chiffrés séparément ; la correction peut être confiée à un autre prestataire | La correction est parfois réservée au prestataire de l’audit |
Ce tableau ne juge pas le niveau des autres prestataires. Il présente ce que nous nous engageons à faire, sous une forme comparable.
Les étapes
Comme nous intervenons avec des droits d’administrateur, le périmètre est fixé par écrit avant toute intervention.
Premier échange (gratuit)
Environnement concerné, urgence, organisation de la maintenance. Cette étape est gratuite.
Périmètre
Nous identifions les serveurs et les opérations, puis signons un accord d’intervention et un accord de confidentialité.
Intervention
Uniquement sur le périmètre convenu. En cas de configuration imprévue, nous nous arrêtons pour en parler avec vous.
Revue qualité
Notre responsable technique au Japon vérifie les conclusions et les procédures de remise en état.
Rapport et restitution
Nous vous remettons le rapport et vous le présentons de vive voix. Si une mise à jour ou une migration est nécessaire, nous vous en indiquons le coût.
Tarifs
Prix hors taxes, en yens. Si le périmètre modifie le prix, nous confirmons le devis avant de commencer.
| Service | Prix (HT) | Conditions | Délai |
|---|---|---|---|
| Triage d’urgence PHP | 100 000 yens HT | Un environnement, diagnostic seul, 8 heures de travail au maximum | 48 heures après réception des informations |
| PHP Security Check | 50 000 yens HT | Jusqu’à 3 environnements ; au-delà, 12 000 yens HT par environnement supplémentaire | 3 jours ouvrés |
| Application des correctifs PHP | À partir de 100 000 yens HT | Un environnement, au sein d’une même branche ; urgence (sous 48 heures) : +50 % | 5 jours ouvrés |
| Migration de version PHP | À partir de 300 000 yens HT | Un environnement, jusqu’à 40 heures de travail ; au-delà, sur devis | 3 à 8 semaines |
| Audit web simplifié (standard) | À partir de 100 000 yens HT | Un domaine, jusqu’à environ 10 écrans | 10 jours ouvrés |
| Audit web simplifié (urgence) | 150 000 yens HT | Un domaine, environ 5 écrans ; restitution téléphonique de 30 minutes | 48 heures |
| Web Security Care | 30 000 yens HT par mois | Un environnement, contrat de 12 mois, sans frais de mise en service | — |
| Refonte de code ancien | Sur devis | Selon les besoins | — |
Frais supplémentaires
- Environnements supplémentaires : À partir du 4e environnement, 12 000 yens HT par environnement (PHP Security Check)
- Urgence : Interventions de nuit, le week-end, les jours fériés ou sous 48 heures : +50 %
- Extensions : Recompilation d’extensions PHP ou modification de code spécifique : sur devis
- Remise en état : Rétablissement après une panne non liée à notre intervention : sur devis
Si nous risquons de dépasser le temps prévu, nous nous arrêtons pour vous consulter. Pas de frais supplémentaires sans votre accord. Prix en vigueur en octobre 2026, susceptibles d’évoluer.
Questions fréquentes
Notre organisation et nos mesures de sécurité
Ce service vise à protéger durablement vos systèmes web, pas seulement à réagir ponctuellement : contrôle régulier et anticipation des fins de support. Le contact, la gestion du contrat et la validation finale de la qualité sont assurés au Japon ; les travaux sont réalisés par des ingénieurs en Inde. Puisque vous nous confiez des droits d’administrateur, nos propres pratiques sont encadrées par contrat et par des procédures.
| Comptes d’intervention | Créés pour chaque mission, désactivés dans les 24 heures après la fin. Aucun compte partagé |
|---|---|
| Identifiants | Conservés dans un coffre partagé chiffré, accessible aux seuls intervenants de la mission |
| Postes de travail | Appareils personnels interdits, disques chiffrés, authentification à deux facteurs obligatoire |
| Traçabilité | Qui a fait quoi, quand et sur quel serveur : tout est enregistré et conservé un an |
| Confidentialité | Accord de confidentialité signé lors de la conclusion du contrat, imposé aussi à nos sous-traitants |
| Données | Nous ne copions ni n’emportons vos données. Le rapport ne contient que le strict nécessaire |
| Production | Interventions réservées aux personnes ayant réussi un test technique, avec un double contrôle systématique |
| Assurance | Assurance responsabilité civile professionnelle souscrite |
À savoir avant de commander
- Ce service examine l’état de l’environnement concerné et propose un diagnostic et des améliorations. Il ne garantit pas l’absence de vulnérabilités.
- Le contrôle rapide ne permet pas d’affirmer qu’il n’y a pas eu d’intrusion. L’investigation numérique n’est pas comprise.
- L’audit web simplifié est distinct d’un test d’intrusion et d’une revue de code source.
- Les interventions ont lieu après la signature d’un accord écrit, aux dates et sur le périmètre convenus.
- Pendant l’audit, le WAF ou l’IDS de votre site peut réagir. Prévenez vos équipes à l’avance.
- Les changements de configuration serveur et les modifications d’application font l’objet d’un devis séparé.
Commencez simplement par vérifier si vous êtes concerné.
Le premier échange est gratuit. Si votre site n’est pas concerné, nous vous le disons clairement.