Le mercredi 21 octobre 2026 au matin, une faille de sécurité critique dans PHP a été rendue publique. Avant la fin de la journée, tous les sites hébergés par Elefen étaient protégés par un correctif permanent.
PHP fait fonctionner près de 70 % des sites Web dans le monde, dont WordPress et WooCommerce. Quand une faille de cette ampleur est annoncée, chaque heure compte. Voici comment notre équipe et nos partenaires ont réagi, et ce que vous devez savoir pour votre propre site.
La faille PHP en bref
Deux vulnérabilités de haute gravité ont été découvertes dans PHP, le langage qui fait tourner la majorité des sites Web. Elles étaient passées inaperçues pendant des années avant d’être repérées avec l’aide de l’intelligence artificielle.
Les développeurs de PHP ont publié des correctifs urgents et demandé à tous les utilisateurs de mettre à jour immédiatement. La menace était bien réelle : Cloudflare a observé des milliers de tentatives d’exploitation dans les heures précédant l’annonce, puis des millions après.
Certaines organisations ont même mis leurs services hors ligne par précaution, comme les compagnies japonaises ANA et Nomura ou le fournisseur informatique de l’État finlandais, Valtori. Ce dernier prévoit que le retour à la normale pourrait prendre des jours, voire des semaines (source).
L’ampleur de la situation au Canada et au Québec
Le Centre canadien pour la cybersécurité a publié l’alerte AL26-026 le 21 octobre. Les failles, surnommées « php2shell » (CVE-2026-109618 et CVE-2026-109619), permettent d’exécuter du code à distance sans authentification. Elles sont cotées 9,2 sur 10 (Clubic).
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions plus anciennes ne reçoivent plus de correctifs officiels. Le Centre recommande d’appliquer les correctifs immédiatement, en priorité sur les systèmes exposés à Internet (déclaration du Centre).
Par précaution, certains sites du gouvernement du Canada ont été rendus temporairement indisponibles le temps d’appliquer les correctifs (Secrétariat du Conseil du Trésor). Au Québec, la SAQ, la STM et la SAAQ ont verrouillé leurs sites, et plusieurs sites du gouvernement de Terre-Neuve-et-Labrador ont aussi été mis hors ligne. Aux États-Unis, la CISA a demandé une mise à jour immédiate.
Dès l’annonce : des correctifs temporaires en place
Nos partenaires d’infrastructure ont déployé des correctifs temporaires dès que la faille a été rendue publique. Ces mesures bloquaient les tentatives d’attaque connues pendant que les correctifs définitifs se préparaient.
Cette première ligne de défense est essentielle : les attaquants n’attendent pas. Les tentatives d’exploitation ont explosé dans les heures qui ont suivi l’annonce, et nos serveurs étaient déjà protégés.
Le jour même : des correctifs permanents
Les correctifs permanents ont été installés sur nos serveurs au cours de la journée du 21 octobre. C’est extrêmement rapide pour une faille de cette ampleur : ailleurs dans le monde, des organisations parlent de jours, voire de semaines.
Cette rapidité n’est pas un hasard. Elle repose sur une surveillance constante de nos serveurs et une collaboration étroite avec nos partenaires. Vu la gravité de la faille, agir vite n’était pas une option : c’était une obligation.
Tous nos clients informés, hébergés ou non
Tous nos clients ont été avisés de la faille et des manipulations à faire, le cas échéant. Pour les sites que nous hébergeons, nous avons confirmé que la protection était en place.
Nous sommes allés plus loin : nous avons aussi contacté les clients dont nous n’hébergeons pas le site. Leur serveur relève d’un autre fournisseur, mais leur sécurité nous tient à cœur. Nous voulions que tout le monde sache quoi vérifier et qui appeler.
Votre site n’est pas hébergé chez nous? Voici quoi faire
Si votre site WordPress ou WooCommerce est hébergé ailleurs, quelques gestes simples réduisent le risque :
- Demandez à votre hébergeur si le correctif PHP a été installé sur votre serveur, et quand.
- Vérifiez la version de PHP de votre site : une version qui n’est plus supportée ne recevra pas de correctif.
- Mettez à jour WordPress, votre thème et vos extensions.
- Assurez-vous d’avoir une sauvegarde récente, conservée hors du serveur.
- Si vous utilisez Cloudflare, activez les règles de pare-feu (WAF) offertes pour cette faille.
Vous n’êtes pas certain de la marche à suivre? Notre équipe peut vérifier pour vous.
La sécurité de votre site, notre priorité
En moins de 24 heures, nos clients hébergés étaient protégés, et tous nos clients savaient quoi faire. C’est ça, la différence d’un hébergement géré par une équipe locale qui connaît vos sites.
Vous voulez un hébergement WordPress sécurisé et une équipe qui réagit vite quand ça compte? Contactez Elefen pour en discuter.
Sources
- AL26-026 – Vulnérabilités critiques touchant PHP — Centre canadien pour la cybersécurité, 21 octobre 2026
- Déclaration concernant des vulnérabilités critiques dans PHP — Centre canadien pour la cybersécurité, 21 octobre 2026
- Déclaration du dirigeant principal de l’information du gouvernement du Canada — Secrétariat du Conseil du Trésor, 22 octobre 2026
- Faille informatique mondiale : la SAQ, la STM et la SAAQ verrouillent leurs sites — Radio-Canada
- Faille de sécurité : plusieurs sites du gouvernement de T.-N.-L. hors ligne — Radio-Canada
- Critical Vulnerabilities in PHP Require Immediate Patching — CISA, 21 octobre 2026
- Deux failles critiques menacent des millions de sites PHP — Clubic, 21 octobre 2026
- Millions of hacking attempts as companies, governments rush to patch PHP flaws — Ground News, 22 octobre 2026
