Daylit

Actualités · sécurité

Pourquoi Daylit et ses clients restent en ligne face à PHP2Shell

21 octobre 2026 · mis à jour à 16 h 20

Mise à jour du 21 octobre, 16 h 20 : le correctif est appliqué. PHP l'a publié à 16 h 00 ; Daylit a commencé à l'installer à 16 h 13 et avait terminé à 16 h 20. Tous les sites sous PHP 8.3 et 8.4 tournent désormais avec la version corrigée. Pour PHP 8.2, Debian n'a pas encore publié le correctif ; ces sites gardent la mesure provisoire d'ici là et reçoivent la mise à jour automatiquement dès qu'elle sort. Pas un seul site n'a été mis hors ligne.

Le 21 octobre 2026, PHP a annoncé deux failles critiques, appelées ensemble PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Quiconque les exploite peut exécuter du code à distance sur un serveur qui fait tourner PHP. Comme le correctif n'arrive qu'à 16 h 00, heure néerlandaise, Security.NL, RTL et la Chambre des représentants néerlandaise, entre autres, ont mis leurs sites hors ligne par précaution.

Daylit reste en ligne, tout comme les sites de nos clients. Nous expliquons ci-dessous pourquoi c'est responsable, et ce que nous avons déjà fait.

Qui s'est mis hors ligne, et qui ne l'a pas fait

Selon la NOS et NU.nl, cet après-midi, figuraient notamment parmi les sites inaccessibles :

Le NCSC néerlandais n'avait encore constaté aucune exploitation, mais considère que tout système exposé à internet avec PHP est vulnérable tant qu'il n'est pas mis à jour. Se mettre hors ligne est le choix sûr pour quiconque ne sait pas exactement quelles versions de PHP tournent, ou ne peut pas déployer rapidement la mise à jour.

Ceux qui sont restés en ligne soit n'utilisent pas PHP pour le site lui-même, soit savent exactement ce qui tourne et peuvent mettre à jour immédiatement. C'est précisément ce pour quoi Daylit est conçu.

Pourquoi nous restons en ligne

Chaque site tourne sur une version de PHP qui reçoit le correctif. Tous nos sites utilisent PHP 8.2, 8.3 ou 8.4, des versions que PHP maintient encore. Ceux qui sont encore en 8.1 ou plus ancien ne reçoivent pas de correctif et ont un vrai problème.

Le chemin d'attaque connu est déjà fermé. À 14 h 03, nous avons modifié sur chaque site deux paramètres PHP qui, selon les chercheurs, rendent l'attaque plus difficile (session.upload_progress désactivé, sessions uniquement par cookies). Aucun redémarrage n'a été nécessaire : pas un seul site n'a été indisponible.

Le correctif s'installe automatiquement. Toutes les demi-heures, Daylit vérifie s'il y a de nouveaux paquets PHP. Dès qu'ils sont là, ils sont installés et PHP redémarre, un site à la fois par serveur, sans que votre site soit mis hors ligne.

Nous surveillons. Si PHP lance un programme qui n'a rien à y faire, comme un shell ou un outil de téléchargement, nous recevons immédiatement une alerte. C'est le signe d'une intrusion via des failles comme celles-ci.

Une intrusion reste confinée à un seul site. Chez Daylit, chaque site a son propre serveur, qui ne peut atteindre ni les autres sites ni notre réseau interne. Chaque nuit, nous comparons le code des sites WordPress à la version officielle, et il y a des sauvegardes quotidiennes.

Que devez-vous faire ?

Rien. Votre site reste accessible et Daylit installe le correctif dès qu'il sort. Vous pouvez mettre à jour PHP vous-même, mais vous n'y êtes pas obligé.

Se mettre hors ligne n'est pas gratuit : une boutique en ligne perd des commandes et les clients ne vous trouvent plus. Nous choisissons des mesures qui protègent votre site tout en le laissant tourner. Si nous voyons des signes d'une véritable attaque, nous intervenons et vous prévenons immédiatement.

Nous mettrons cet article à jour dès que tous les sites auront le correctif.

Sources