Un diagnostic d’exposition
Nous relevons la version de PHP, le type d’hébergement et l’état des correctifs. Vous savez si votre site est exposé et ce qu’il faut demander à votre hébergeur.
Audit PHP
PHP2Shell : mettez votre site à l’abri. Puis tournez la page.
Avec PHP2Shell, deux failles critiques de PHP, un attaquant peut prendre la main sur un serveur sans mot de passe. Les premières attaques ont commencé avant même la sortie du correctif. Nous vérifions votre exposition, cherchons des traces d’intrusion, puis migrons votre site vers un site sans PHP, hébergé en France.
Pour les TPE, PME, boutiques en ligne, associations et institutions dont le site tourne sous WordPress, PrestaShop, Drupal, Joomla, Magento ou un développement PHP sur mesure.
Faites-vous partie des 70 % de sites vulnérables ? Le 21 octobre 2026, la faille PHP2Shell, l’une des plus graves du Web, est dévoilée, et des sites sont piratés le jour même. Sept sites sur dix tournent sous PHP : WordPress, WooCommerce, PrestaShop, Magento, Drupal, Joomla, Dolibarr, Moodle, TYPO3, Laravel, Symfony ou un développement sur mesure. En 2019, on avait en moyenne plus de 60 jours pour corriger une faille après sa divulgation ; en 2026, les failles sont exploitées avant même d’être divulguées, et cette fois les premières attaques ont été vues à 7 h 43 UTC, avant le correctif publié à 14 h. Un piratage se voit rarement : du minage de cryptomonnaies au rançongiciel, en passant par le spam, l’écoute des échanges et le vol de données, l’attaquant se sert sans bruit. Le film présente ensuite notre méthode : pare-feu le jour même, diagnostic et recherche de traces d’intrusion deux heures plus tard, portage sur TanStack Start et Payload CMS à J+1, puis mise en ligne chez Scaleway, en France, à J+3. La vidéo est accompagnée de musique, sans paroles.
- Diagnostic d’exposition avant tout devis
- Recherche de traces d’intrusion
- Hébergement en France
Ils nous font confiance
Testez votre site
Votre site est-il exposé à la faille PHP2Shell ?
Entrez l’adresse de votre site. Nous lisons la version de PHP qu’il annonce et son CMS, sans rien lui envoyer d’agressif. Le résultat situe votre exposition à la faille du 21 octobre 2026.
Détection passive : nous lisons uniquement les en-têtes que le serveur publie. Un hébergeur peut masquer la version, ou l’avoir corrigée sans changer le numéro, nous ne pouvons donc jamais conclure « sûr » ni « piraté ». Nous ne testons jamais la faille sur un site tiers.
This product uses the NVD API but is not endorsed or certified by the NVD. Les CVE proviennent de la National Vulnerability Database (NIST).
Faites-vous partie des 70 % de sites à risque ?
La faille est dans PHP lui-même. Tous ces outils sont donc exposés tant que la version de PHP qui les fait tourner n’est pas corrigée.
- CVE-2026-109618
- CVE-2026-109619
- WordPress
- WooCommerce
- PrestaShop
- Magento
- Drupal
- Joomla
- Dolibarr
- Moodle
- TYPO3
- Laravel
- Symfony
- PHP sur mesure
Un piratage se voit rarement.
Vos services sont peut-être déjà vérolés, sans que vous le sachiez.
- Minage de cryptomonnaiesConséquence : Site ralenti
- Sites parasites hébergés chez vousConséquence : Ralentissements, réputation dégradée
- Contenus illicites hébergésConséquence : Votre nom lié à des contenus illégaux
- Relais d’attaques DDoS et de spamConséquence : Serveur et e-mails sur liste noire
- Écoute des échanges des visiteursConséquence : Mots de passe et paiements volés, amendes RGPD
- Vol d’informations confidentiellesConséquence : Vos données stratégiques dans la nature
- RançongicielConséquence : Données chiffrées, rançon, activité à l’arrêt
Si votre site a été touché
Nous cherchons, nous arrêtons, nous vous rendons des comptes.
Avant toute migration, nous vérifions que personne n’est déjà installé chez vous. Et si c’est le cas, nous nous en occupons.
Le tout en toute confidentialité.
Nos services ont été audités par RedSystem, experts en cybersécurité offensive.
Une analyse en profondeur
Fichiers, comptes, tâches planifiées, processus et journaux : nous analysons vos serveurs en profondeur pour vérifier qu’aucun attaquant n’est passé.
Un rapport complet
Vous recevez un rapport complet qui liste chaque élément analysé et ce que nous avons trouvé.
Une intrusion stoppée et nettoyée
En cas d’intrusion, nous arrêtons immédiatement la propagation, nettoyons les serveurs et dressons l’inventaire des éléments touchés.
Un accompagnement juridique
Si des données personnelles sont touchées, nous vous proposons une mise en relation confidentielle avec notre partenaire Lex4u, cabinet d’avocats spécialisé en protection des données et en gestion de crise. Il a assuré la conformité juridique de fuites de données d’ampleur internationale.
Votre point de départ
Une faille dans le moteur de votre site.
Publiées le 21 octobre 2026, les failles CVE-2026-109618 et CVE-2026-109619 touchent PHP lui-même, pas une extension. Elles n’ont besoin d’aucune erreur dans votre site pour être exploitées. Le CERT-FR recommande d’isoler les serveurs concernés, puis de passer sur une version maintenue.
- Votre site tourne sous WordPress, PrestaShop, Joomla, Drupal ou Magento et vous ne savez pas quelle version de PHP l’exécute.
- Votre site affiche des pages inconnues, redirige vers d’autres adresses ou votre hébergeur vous a alerté.
- Votre site repose sur PHP 8.1 ou plus ancien, que le projet PHP ne corrige plus.
- Vous ne voulez plus revivre une mise à jour d’urgence à chaque faille.
Notre intervention
Sortir de l’urgence, puis ne plus y revenir.
Une recherche de traces
Fichiers ajoutés à la racine du site, comptes administrateurs inconnus, tâches planifiées suspectes : nous cherchons les signes d’une intrusion passée, car un correctif ne retire pas une porte dérobée déjà installée.
Une migration hors de PHP
Nous reprenons vos contenus, vos adresses et vos parcours dans un site sans PHP. Les pages publiques sont servies par un CDN et l’administration vit à part, sur une autre adresse.
Un site tenu à jour
Hébergement en France, mises à jour suivies et sauvegardes : le site reste maintenu après la mise en ligne, sans pile d’extensions à surveiller.
Alerte sécurité · Les chiffres
Les attaquants vont plus vite que les correctifs.
Mandiant le mesure depuis 2018 : les failles sont exploitées de plus en plus tôt, et désormais souvent avant le correctif. Pour une petite entreprise, un piratage peut aller jusqu’au dépôt de bilan.
Un délai qui a disparu
Délai moyen entre la sortie du correctif et la première exploitation d’une faille. Un délai négatif veut dire que l’attaque arrive avant le correctif.
Correctif publié
- 2018-201963 j après le correctif
- 2020-202144 j après le correctif
- 2021-202232 j après le correctif
- 20235 j après le correctif
- 2025−7 j avant le correctif
Le 21 octobre 2026, en direct
Plus de six heures d’attaques contre des sites PHP, sans correctif disponible. Heures UTC.
07:43premières attaques
14:00correctif publié
29 %
des failles exploitées en 2025 l’ont été le jour même de leur publication, ou avant.
VulnCheck, 2026141
failles exploitées de janvier à août 2026, contre 127 sur toute l’année 2025.
Google Threat Intelligence, via CSO OnlineCe que coûte un piratage
+50 %
de risque de faillite dans les six mois qui suivent l’annonce d’une cyberattaque, d’après 48 incidents dans des entreprises françaises non cotées.
Bessé et G.P. Goldstein, via LeMagIT1 sur 3
PME attaquée a reçu une amende importante après l’incident. 29 % ont ensuite eu du mal à trouver de nouveaux clients.
Hiscox, Cyber Readiness Report 2025+107 %
de demandes d’assistance pour une violation de données en France en un an, sur plus de 504 000 demandes au total.
Cybermalveillance.gouv.fr, 2026Et l’IA ?
Elle aide les attaquants à transformer plus vite un bulletin de sécurité en attaque. Mais pour Mandiant, 2025 n’est pas encore l’année des intrusions causées directement par l’IA : les attaquants entrent toujours par des failles non corrigées et des erreurs humaines. La réponse ne change pas, elle doit juste aller plus vite : corriger, puis réduire ce qui peut être attaqué.
Avec vos équipes
Protégé le jour même, migré en trois jours.
Un seul interlocuteur du premier appel à la mise en ligne, et un point avec vous à chaque étape.
H+0
Votre site passe derrière un pare-feu
Dès votre appel, nous plaçons votre site derrière le CDN de Bunny, un fournisseur européen. Son pare-feu applicatif bloque la plupart des tentatives d’exploitation avant qu’elles n’atteignent votre serveur, et vos pages se chargent plus vite au passage. C’est une protection d’urgence : elle ne remplace pas la mise à jour de PHP.
H+2
Le diagnostic
Nous relevons la version de PHP, l’hébergement et les extensions, puis cherchons les traces d’une intrusion déjà en place : fichiers ajoutés, comptes inconnus, tâches planifiées. Un correctif ne retire pas une porte dérobée. Vous savez ce qui doit être corrigé tout de suite.
J+1
Nous le portons sur des outils modernes
Nous reconstruisons votre site avec TanStack Start et Payload CMS, deux technologies open source bien moins exposées aux failles que PHP. Que vous ayez encore le code source ou non, nous reprenons vos contenus et vos adresses, et le site reste entièrement à vous. Si vous le souhaitez, nous en profitons pour améliorer l’expérience de vos visiteurs et votre référencement.
J+3
Il est en ligne, hébergé en France
Le nouveau site part sur nos serveurs chez Scaleway, en France : nous sommes titulaires d’une certification de sécurité dispensée et délivrée par la plateforme. Il tourne en haute disponibilité : deux datacenters tournent en parallèle, et la base de données est sauvegardée chaque jour. Il est plus rapide et mieux protégé qu’avant. Ensuite, nous surveillons les failles tous les jours et corrigeons vos services dès qu’une alerte tombe.
L’équipe
Faisons
connaissance.
Nous sommes développeurs et designers, à Poitiers et à Rennes. Vous échangez directement avec les personnes qui conçoivent vos outils et vous aident à les prendre en main.
Nous nous déplaçons chez vous.
Notre conviction :
Votre savoir-faire, augmenté par l’IA.
Avant de se lancer
Vos questions.
Un cas particulier ? Parlons-en à partir de votre situation.
Mon site est-il concerné par PHP2Shell ?
Si votre site tourne sous PHP (c’est le cas de WordPress, PrestaShop, Drupal, Joomla, Magento et de nombreux sites sur mesure) avec une version antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, il est exposé. PHP 8.1 et les versions plus anciennes ne reçoivent plus de correctif officiel.
Mettre à jour PHP suffit-il ?
Elle ferme ces deux failles, et c’est la première chose à faire. Mais elle ne retire pas ce qu’un attaquant aurait déposé avant le correctif. Une mise à jour de PHP peut aussi casser des extensions anciennes : à tester avant de l’appliquer en production.
Mon hébergeur s’en occupe-t-il ?
Sur un hébergement mutualisé, l’hébergeur met généralement PHP à jour lui-même : vérifiez la version active dans votre espace client. Sur un serveur dédié ou un VPS, la mise à jour vous revient, ou revient à votre prestataire.
Comment savoir si mon site a été piraté ?
Souvent, rien ne se voit : un attaquant qui mine des cryptomonnaies, envoie du spam ou écoute les échanges a intérêt à rester discret. Quand des signes apparaissent (pages inconnues dans Google, redirections, nouveaux comptes administrateurs, lenteurs, alerte de l’hébergeur), chacun justifie une vérification. Gardez les journaux du serveur, ils servent à l’enquête.
Faut-il forcément quitter PHP ?
Pas toujours. Si votre site est à jour et simple à maintenir, le correctif peut suffire. La migration vaut le coup quand le site repose sur une version de PHP abandonnée, des extensions qui ne sont plus maintenues, ou quand vous ne voulez plus dépendre de ces mises à jour d’urgence.
Que devient mon référencement pendant la migration ?
Nous reprenons les contenus, les métadonnées et les adresses, et posons les redirections. Nous suivons ensuite l’indexation et le trafic. Une migration accompagnée limite les pertes ; elle ne garantit pas des positions inchangées.
Écrivez-nous.
* Champs obligatoires