Votre site est-il exposé à la faille PHP ?
Deux failles notées 9,2/10 (CVE-2026-109618 et CVE-2026-109619) permettent à un pirate de prendre le contrôle de votre serveur, sans mot de passe. Tous les sites en PHP sont concernés : WordPress, Joomla, Drupal, PrestaShop, Laravel, Symfony ou site codé en PHP. Les attaques ont déjà commencé. Scannez votre site en 10 secondes pour savoir s'il est concerné.
Le scan est gratuit et sans risque : nous lisons uniquement ce que votre site affiche publiquement.
Intervention en France et en Suisse · Équipes basées à Genève et en Haute-Savoie
Ils en parlent
Une alerte mondiale, en France comme en Suisse
Sites des impôts, de Météo-France et des préfectures inaccessibles, sites gouvernementaux mis hors ligne par précaution : la presse française et suisse relaie l’alerte depuis le 21 octobre.
En clair : que peut faire le pirate ?
Il peut entrer chez vous comme s’il avait les clés, sans forcer la porte et sans que vous le voyiez. Une fois à l’intérieur de votre site, il peut :
- Vous voler vos clients. Il récupère les noms, e-mails, téléphones et commandes de tous vos clients. Il peut les revendre ou s’en servir pour les arnaquer en se faisant passer pour vous.
- Vous voler vos demandes de devis. Votre formulaire de contact a l’air de marcher normalement, mais les demandes arrivent chez lui, pas chez vous. Vous perdez des clients sans le savoir.
- Récupérer vos mots de passe. Il modifie discrètement votre page de connexion pour lire les mots de passe en clair, ainsi que les identifiants de votre base de données.
- Arnaquer vos visiteurs en votre nom. Il remplace votre page de paiement par une fausse, ou redirige vos visiteurs vers un site frauduleux. Ce sont vos clients qui se font voler, et c’est votre nom qui est sali.
- Revenir quand il veut. Il laisse une porte cachée. Même après la correction de la faille, il peut revenir des semaines plus tard.
- Utiliser votre site pour ses propres attaques. Votre site envoie du spam, mine de la crypto ou attaque d’autres sites. Votre hébergeur peut alors le couper.
- Tout bloquer et vous demander une rançon. Il chiffre votre site et vos données, puis exige de l’argent pour vous les rendre.
Ce que ça vous coûte
- Perte de clients et de demandes de devis
- Site bloqué par l’hébergeur ou marqué « dangereux » par Google, et chute de votre référencement
- Obligation légale de déclarer la fuite de données à la CNIL (RGPD) et de prévenir vos clients
- Image de marque abîmée
Pourquoi c’est plus grave que d’habitude
- La faille ne vient pas de WordPress mais du moteur qui fait tourner le site (PHP). Mettre à jour WordPress ne vous protège donc pas.
- Elle touche tous les sites en PHP : WordPress, Joomla, Drupal, PrestaShop, Laravel, Symfony ou un site codé en PHP « en dur ».
- PHP fait tourner environ 69 % des sites dont la technologie est connue (W3Techs).
- Les sites restés en PHP 5 ou 7 ne recevront pas de correctif : il faut parfois migrer.
- Les pirates attaquent déjà, de façon automatique, des milliers de sites par heure.
- Un site piraté continue souvent de fonctionner normalement : on ne voit rien.
Nous sécurisons tous vos sites PHP en 5 étapes
Une intervention complète, réalisée par un développeur, sans interruption de votre activité.
Audit de vos sites et de votre hébergement
Nous listons tout ce qui tourne en PHP chez vous (site vitrine, boutique, back-office, outils internes) et nous vérifions votre hébergeur : version de PHP réellement installée, configuration du serveur, autres sites hébergés au même endroit.
Mises à jour
Passage de PHP en version corrigée (8.2.35, 8.3.36, 8.4.27 ou 8.5.12), ou migration si votre site tourne encore en PHP 5 ou 7. Puis mise à jour du CMS ou du framework, du thème et des extensions.
Correction de la faille du jour
Application du correctif CVE-2026-109618 / CVE-2026-109619 et recherche de traces d'intrusion ou de porte dérobée déjà installée.
Sécurisation du site et du serveur
Fermeture des failles connues : accès administrateur, fichiers sensibles, droits sur le serveur, en-têtes de sécurité. Sur WordPress comme sur tout autre site PHP.
Vérification des extensions et dépendances
Contrôle de chaque extension, module ou librairie installée, suppression de ceux qui sont abandonnés ou vulnérables (dont les clés UpdraftCentral compromises sur WordPress).
WordPress, Joomla, Drupal, PrestaShop, Magento, Laravel, Symfony ou PHP codé en dur : nous intervenons sur tous les sites PHP, quel que soit votre hébergeur (OVH, o2switch, Infomaniak, Hostinger, serveur dédié…).
Qui intervient sur votre site
Des développeurs, pas un plugin automatique
Nous intervenons partout en France et en Suisse. Nos équipes travaillent actuellement depuis Genève et la Haute-Savoie.
Valentin Ducrettet
Développeur
Fondateur de La Vertikale, développeur et expert SEO. Il réalise l’intervention sur votre site et s’assure que votre référencement ne souffre pas de la faille.
Paul Delcloy
Développeur, partenaire sécurité et web performance
Développeur depuis plus de 8 ans et ancien directeur technique d’agence, il est notre partenaire pour la sécurité et la web performance. Il accompagne des marques comme CHANEL, RIMOWA ou SiriusXM sur la fiabilité et la vitesse de leurs sites.
Faites sécuriser votre site par un développeur
Laissez-nous vos coordonnées : nous revenons vers vous rapidement avec un diagnostic et un devis. Intervention en France et en Suisse, depuis Genève et la Haute-Savoie.
FAQ
Vos questions sur la faille PHP
Non. La faille se trouve dans PHP, le langage qui fait tourner WordPress, pas dans WordPress lui-même. Il faut que PHP passe en version 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. C'est souvent l'hébergeur qui s'en charge, mais pas toujours, et pas forcément à temps.
Les gros hébergeurs mutualisés mettent généralement PHP à jour eux-mêmes. Sur un serveur dédié, un VPS ou une ancienne version de PHP choisie dans votre espace client, c'est à vous de le faire. Et même si votre hébergeur a corrigé, un pirate a pu entrer avant.
Ce n'est pas visible de l'extérieur : un pirate a tout intérêt à rester discret. Il faut contrôler les fichiers du serveur, les comptes administrateurs, les tâches planifiées et les extensions. C'est ce que nous faisons pendant l'intervention.
Oui, si votre site utilise PHP : Joomla, Drupal, PrestaShop, Magento, SPIP, les sites développés avec Laravel, Symfony ou CodeIgniter, et les sites codés en PHP « en dur » sont aussi concernés. Les sites Shopify, Wix, Webflow ou Next.js ne sont pas concernés. Nous intervenons sur tous ces sites, pas seulement sur WordPress.
Il lit uniquement ce que votre site affiche publiquement (en-têtes du serveur, code de la page d'accueil) pour détecter PHP, sa version et la technologie utilisée (CMS comme WordPress ou Joomla, framework comme Laravel ou Symfony, ou PHP natif). Il ne tente aucune attaque. Si la version de PHP est masquée, seule une vérification sur le serveur permet de conclure.
Le plus sûr est de couper temporairement PHP et d'afficher une page de maintenance statique. Attention : le mode maintenance de WordPress ne protège pas, car PHP continue de lire les requêtes.