Sans mot de passe pour commencer
Première évaluation externe de votre exposition à PHP2Shell.
Urgence site web
PHP2Shell : votre site est-il exposé ?
Faites évaluer le risque, même sans vos identifiants. Vous avez perdu vos accès ? Votre agence ou votre hébergeur est injoignable ? ICTCG peut commencer par examiner les indices accessibles depuis l'extérieur, avec votre autorisation, puis approfondir le diagnostic dès que les accès seront disponibles.
Alerte : une faille déjà exploitée à grande échelle
PHP2Shell (CVE-2026-109618 et CVE-2026-109619) touche le moteur PHP, utilisé par de nombreux sites web. Les versions corrigées sont publiées depuis le 21 octobre 2026. Le Centre pour la Cybersécurité Belgique recommande de corriger immédiatement, sinon de mettre le site hors ligne.
- 9,2/10
- score de gravité des deux failles critiques (php.net, 21/10/2026)
- Des millions
- de tentatives d'attaque, selon Cloudflare (Matthew Prince, 22/10/2026)
Ce que vous obtenez
Un premier avis rapide
Risques repérés, absence d'indice détectable ou situation impossible à déterminer à ce stade.
Une vérification approfondie ensuite
Confirmation des versions et correctifs avec les accès adéquats, puis proposition de correction si nécessaire.
Êtes-vous concerné ?
PHP2Shell concerne le moteur PHP utilisé par de nombreux sites, y compris WordPress et PrestaShop. Depuis l'extérieur, on peut parfois voir des indices de version ou d'exposition, mais un hébergeur peut avoir intégré le correctif sans modifier le numéro affiché ; un proxy peut aussi masquer PHP. Un accès WordPress n'est généralement pas suffisant pour appliquer la correction au serveur.
Votre site tourne sous WordPress, PrestaShop, Drupal ou Joomla
Ces logiciels fonctionnent avec PHP : c'est la version de PHP de votre hébergement qui doit être corrigée, pas seulement le site.
Vous ne savez pas qui gère PHP, le serveur ou l'hébergement
Agence disparue, prestataire injoignable, accès perdus : nous vous aidons à identifier le bon interlocuteur, avec votre autorisation.
Vous avez reçu une alerte de votre hébergeur ou constaté une anomalie
Message de sécurité, site lent ou modifié, page inattendue : signalez-le dans votre demande, une suspicion de compromission est transmise à une personne compétente.
Deux étapes, un seul diagnostic
Étape A — sans accès techniques
Après vérification de votre habilitation et autorisation écrite, ICTCG examine les informations publiques du site et, dans le périmètre convenu, peut effectuer des contrôles non destructifs. Résultat : « risque identifié ou fortement suspecté », « aucun indice de risque détecté (non conclusif) » ou « situation indéterminée ».
Étape B — dès disponibilité des accès
Contrôle de la version PHP réellement exécutée, des correctifs installés et de la configuration, avec compte rendu et recommandations. La correction éventuelle fait l'objet d'un devis séparé.
Un seul tarif pour les deux étapes
Le tarif de 199 € HTVA couvre les deux étapes du diagnostic, la seconde étant effectuée quand les accès sont obtenus. Le montant est déduit si ICTCG réalise ensuite la correction.
Ce qu'un diagnostic externe ne peut pas dire
Un diagnostic depuis l'extérieur ne permet généralement ni de confirmer qu'un site est corrigé, ni de prouver qu'il n'utilise pas PHP. L'absence d'indice détecté ne signifie pas absence de vulnérabilité. Aucune exploitation risquant de perturber le site n'est incluse dans l'évaluation externe.
Diagnostic PHP2Shell en deux étapes : 199 € HTVA
Vous pouvez commencer sans identifiants. Montant déduit si vous nous confiez ensuite la correction.
La correction, si elle est nécessaire, fait l'objet d'un devis après diagnostic.
Demander mon diagnostic PHP2Shell
Aucun mot de passe à communiquer pour démarrer. Même si vous ne savez pas qui gère votre site, vous pouvez nous contacter.
Aucun mot de passe
Ne communiquez aucun mot de passe dans votre message. Si un accès est requis ultérieurement, nous organiserons une transmission sécurisée et temporaire.
Ce qui nous aide
L'adresse de votre site, votre hébergeur si vous le connaissez, qui s'occupe habituellement du site, les accès dont vous disposez (leur type seulement, jamais un identifiant) et une éventuelle alerte reçue.
Votre habilitation
Avant toute vérification, nous confirmons avec vous par écrit que vous êtes propriétaire du site ou habilité à demander une évaluation, ainsi que le périmètre convenu.
Réponse par e-mail
Nous revenons vers vous par e-mail pour préciser votre situation et organiser la suite.
Demander mon diagnostic PHP2Shell
Aucun mot de passe à communiquer pour démarrer. Même si vous ne savez pas qui gère votre site, vous pouvez nous contacter : nous revenons vers vous par e-mail.
Sources officielles
Les avis des autorités et des éditeurs, à consulter à la source.
Centre pour la Cybersécurité Belgique (CCB)
Avertissement : corriger immédiatement, sinon mettre hors ligne.
En savoir plusCERT-FR — alerte CERTFR-2026-ALE-014
Publiée le 21/10/2026, mise à jour le 22/10/2026.
En savoir plusCloudflare — protections du pare-feu applicatif
Règles déployées et trafic d'attaque observé.
En savoir plusNCSC-NL — informations PHP2Shell
Dépôt public du centre néerlandais de cybersécurité.
En savoir plusActualités PHP2Shell
Les faits marquants depuis la découverte de la première faille, du plus récent au plus ancien. Chaque actualité renvoie à sa source.
PHP publie un avis complémentaire : une troisième faille, correctif à venir
PHP recommande de désactiver session.upload_progress en attendant la prochaine version corrective (CVE-2026-115560, configuration rare). Les sites doivent donc rester surveillés après la mise à jour. Source : php.net
En savoir plus24 heures après : 99 % des serveurs mesurables toujours vulnérables
Ox Security mesure 99,3 % d'instances PHP non corrigées un jour après la publication. Premières tentatives de recrutement dans un botnet Mirai ; le NCSC néerlandais enquête sur de premiers signes d'exploitation réussie. Source : BankInfoSecurity
En savoir plusDes millions de tentatives d'attaque
Matthew Prince (Cloudflare) : des milliers de tentatives dans les dix heures précédant l'annonce, des dizaines de milliers 45 minutes après, des centaines de milliers en deux heures, des millions depuis. Amazon parle d'une exploitation « généralisée ». Source : The Register
En savoir plusFrance : alerte CERT-FR (CERTFR-2026-ALE-014)
Publiée le 21 octobre et mise à jour le 22 : isoler les équipements qui ne peuvent pas être corrigés sans délai, bloquer ou surveiller les requêtes multipart, migrer les versions obsolètes. Cybermalveillance.gouv.fr relaie une AlerteCyber le 22. Source : CERT-FR
En savoir plus1,57 million de serveurs PHP non corrigés
Censys dénombre 2,58 millions d'hôtes PHP exposés sur Internet, dont environ 1,57 million sans correctif. VulnCheck compte plus d'un million de serveurs sur des versions en fin de vie. Source : SecurityWeek
En savoir plusBelgique : avis du Centre pour la Cybersécurité (CCB)
« Patch immediately or take offline ! » : inventorier toutes les installations PHP (y compris cPanel, Plesk et appliances), corriger en priorité ce qui est exposé à Internet, sinon couper ou restreindre l'accès public. Source : Centre pour la Cybersécurité Belgique
En savoir plusLa NSA et les CERT : « mettez à jour, sinon mettez hors ligne »
Avertissement public rare de la NSA ; CERT-EU (avis 2026-018) et NCSC britannique relaient. Des administrations (Pays-Bas, Finlande, ministère de l'Intérieur français, Danemark, Allemagne, République tchèque) coupent leurs sites par précaution. Source : Al Jazeera
En savoir plusCorrectifs publiés : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12
Publication avancée à 13 h 34 UTC. Les branches 5.4 à 8.1, en fin de vie, ne reçoivent pas de version corrigée (patchs source seulement pour 7.4, 8.0 et 8.1). PHP précise qu'il n'existe aucun contournement complet : seule la mise à jour protège. Source : php.net
En savoir plusCloudflare active des règles de pare-feu applicatif avant la publication
Protections en place à 03 h 02 UTC, environ neuf heures avant l'avis officiel ; Cloudflare observe déjà du trafic d'attaque et des charges modifiées pour contourner les règles. Source : Cloudflare
En savoir plusFuite publique et annonce d'une mise à jour critique
Les détails fuitent (forum Hacker News, réseaux sociaux, vidéo de démonstration publiée par erreur). PHP annonce une version de sécurité critique pour le lendemain, 14 h 00 UTC : deux failles notées 9,2/10. Source : php.net
En savoir plusPremière tentative d'attaque observée, 4 jours avant la publication
Les capteurs MadPot d'Amazon enregistrent une tentative d'exploitation de PHP2Shell depuis un réseau d'anonymisation commercial. Amazon recommande de remonter les investigations au moins jusqu'au 17 octobre. Source : AWS Security Blog
En savoir plusSignalement privé à l'équipe sécurité de PHP
Début de la divulgation coordonnée. PHP accuse réception et commence les correctifs le 21 septembre. Source : Wiz Research
En savoir plusWiz Research trouve la faille de son côté
Wiz la redécouvre indépendamment, puis confirme une exécution de code à distance sans authentification sur Drupal (20/08) et WordPress (21/08). Source : Wiz Research
En savoir plusDécouverte de la première faille par Calif
Ryan Austin (Calif) découvre la première vulnérabilité lors d'un audit du code source de PHP mené avec l'aide d'un modèle d'IA, dans le cadre du programme « Patch the Planet » d'OpenAI. Source : Wiz Research
En savoir plusFaites examiner votre situation
Diagnostic PHP2Shell en deux étapes, 199 € HTVA, déduit si vous nous confiez ensuite la correction. Aucun mot de passe nécessaire pour commencer.
Comment ça marche ?
1. Votre demande
Vous renseignez votre site et un moyen de vous recontacter.
2. Périmètre et première évaluation
Nous validons avec vous le périmètre et l'autorisation ; nous procédons à une première évaluation depuis l'extérieur, sans mot de passe.
3. Diagnostic approfondi
Si les informations extérieures ne permettent pas de conclure, nous poursuivons le diagnostic avec les accès nécessaires lorsqu'ils sont disponibles.
4. La suite
En cas de risque ou de correction nécessaire, nous proposons la suite sur devis ou coordonnons avec votre hébergeur.