NPC Alertes de sécurité

English

Vulnérabilités critiques de PHP : des sites Web à risque

26 juin 2025

Avis aux clients de NPC:

Les appareils et les systèmes de NPC DataGuard ne sont pas touchés par ce problème. Les ordinateurs NPC n’exécutent pas de services Web PHP, et aucune intervention n’est requise sur votre appareil NPC. Cette alerte vise à clarifier la situation, notamment si vous exploitez un site Web utilisant PHP que vous-même ou un autre fournisseur gérez.

Quel est le problème?

Le 21 octobre 2026, l’équipe de sécurité de la Fondation PHP a publié en urgence des mises à jour visant à corriger deux failles de sécurité critiques dans PHP, une technologie utilisée pour alimenter les sites Web d’entreprise, les portails clients et les applications en ligne, notamment WordPress. Les deux failles ont reçu une cote de gravité de 9,2 sur 10. Les systèmes concernés doivent être mis à jour immédiatement.

Des attaquants pourraient exécuter des commandes sur les serveurs vulnérables sans avoir à ouvrir de session. Ils pourraient ainsi voler des données, modifier un site Web, installer des logiciels malveillants ou des rançongiciels, ou encore utiliser le serveur pour lancer des attaques contre d’autres systèmes. Des chercheurs ont découvert ces failles à l’aide d’outils avancés de tests de sécurité, notamment des techniques assistées par l’intelligence artificielle (IA). Des experts avertissent que des outils similaires pourraient également aider des attaquants à repérer des systèmes vulnérables.

Qu’est-ce que cela signifie pour vous?

Le risque direct concerne les systèmes qui exécutent des services Web utilisant les versions vulnérables de PHP. Votre site Web d’entreprise, votre portail client ou les services gérés par d’autres fournisseurs pourraient être touchés. Demandez à votre fournisseur de services Web ou de TI de vérifier ces systèmes, en commençant par ceux qui sont accessibles sur Internet. La présence d’une faille de sécurité ne signifie pas nécessairement qu’un système a été compromis.

Si votre site Web utilise WordPress, PHP doit tout de même être mis à jour. La mise à jour de WordPress, de ses thèmes ou de ses extensions ne suffit pas à corriger ce problème.

Que devez-vous faire?

Communiquez avec votre fournisseur de services Web ou de TI

Demandez si votre site Web ou vos applications d’entreprise utilisent des versions vulnérables de PHP. Confirmez qui est responsable de l’application des mises à jour de sécurité et à quel moment elles seront effectuées. Vérifiez également auprès des fournisseurs de services essentiels à vos activités — comme les portails clients, les outils de gestion de la clientèle, les systèmes de prise de rendez-vous ou les outils de partage de fichiers — s’ils ont été touchés et si les mises à jour nécessaires ont été appliquées.

Confirmez que PHP a été mis à jour

Les correctifs de sécurité sont inclus dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP. Si votre site utilise PHP 8.1 ou une version antérieure, demandez à votre fournisseur de procéder immédiatement à une mise à niveau vers une version prise en charge ou d’appliquer un correctif de sécurité fourni pour cette ancienne version.

Prenez des mesures pour les systèmes qui ne peuvent pas être mis à jour rapidement

Si une mise à jour immédiate est impossible, discutez avec votre fournisseur des mesures de protection temporaires à mettre en place. Les systèmes accessibles sur Internet doivent être traités en priorité. Envisagez de restreindre l’accès à un site touché ou de le mettre temporairement hors ligne jusqu’à ce qu’un correctif puisse être appliqué. Ces mesures temporaires ne remplacent pas la mise à jour de sécurité requise.

Vérifiez les activités suspectes

Demandez à votre équipe technique ou à votre fournisseur d’examiner les journaux système afin de détecter tout signe d’accès non autorisé, comme la présence de fichiers ou de comptes inattendus, ou des activités inhabituelles. L’application de la mise à jour corrige les failles de sécurité, mais elle n’annule pas les dommages qui pourraient avoir été causés par une attaque antérieure.

Faites preuve de prudence lorsque vous utilisez d’autres sites Web

Soyez particulièrement vigilant lorsque vous consultez des sites Web qui ne semblent pas faire l’objet d’une maintenance régulière. Évitez de saisir des renseignements personnels sensibles ou des renseignements sur vos clients sur des sites auxquels vous ne faites pas confiance. N’utilisez pas le même mot de passe sur plusieurs sites.

Méfiez-vous des tentatives d’escroquerie

Les cybercriminels exploitent souvent les nouvelles importantes en matière de sécurité pour tromper les gens. Méfiez-vous des courriels ou des appels inattendus vous demandant de « mettre à jour » ou de « vérifier » votre site Web ou vos comptes. Pour confirmer la légitimité d’une demande, communiquez avec votre fournisseur par vos moyens de communication habituels.

Nous suivons la situation de près et mettrons à jour cette alerte au besoin, si de nouveaux éléments importants le justifient.




Recevez nos alertes de sécurité NPC par courriel pour rester informé des menaces les plus importantes qui pèsent sur vos appareils, vos données et votre vie privée. Nous n’utilisons pas cette liste à d’autres fins.

NPC Alertes de sécurité

Recevez les alertes de sécurité de NPC par courriel pour demeurer au fait des plus importantes menaces à la sécurité de vos appareils, de vos données et de votre vie privée. Nous n'utilisons cette liste à aucune autre fin.

Je m'inscris