Votre site tourne peut-être sur une version de PHP qui ne sera jamais corrigée.
Le 21 octobre 2026, deux failles critiques surnommées « PHP2Shell » ont été confirmées dans le cœur de PHP : elles permettent à n’importe qui d’exécuter son code sur votre serveur, sans mot de passe. Les versions maintenues ont été corrigées en quelques jours. PHP 8.1 et tout ce qui précède ne le seront jamais. Nous remettons votre site sur une base saine pour 490 € — sur un nouveau gabarit, ou à l’identique.
490 € tout compris · deux voies au choix : un site neuf sur gabarit moderne, ou votre site actuel mis à jour à l’identique · vérifié page par page avant mise en ligne
Ce qui vient de se passer
Le 21 octobre 2026, deux vulnérabilités critiques — CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur 10 — ont été confirmées dans le cœur de PHP. Pas dans un plugin, pas chez un hébergeur en particulier : dans le moteur lui-même, celui qui fait tourner une grande partie du web. Leur enchaînement porte un nom, PHP2Shell, parce qu’il permet d’exécuter du code sur le serveur et d’y installer une web shell — une porte dérobée qui reste après le passage. Les codes d’attaque ont fuité dans la foulée, et la CISA, l’agence américaine de cybersécurité, a publié une alerte dès le premier jour.
Toutes les versions de PHP de 5.4 à 8.5.11 sont touchées. Les versions encore maintenues ont reçu un correctif : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mais PHP 8.1 et toutes les versions antérieures sont en fin de vie : il n’y aura jamais de correctif pour elles. Un site qui tourne sur PHP 8.1, 7.4, 7.2 ou 5.6 restera exposé pour toujours — ou jusqu’à ce que quelqu’un change le moteur. C’est le travail que cette page propose de faire.
À quel point c’est facile
On imagine un pirate motivé qui s’acharne sur votre porte. La réalité est plus banale — et c’est exactement le problème :
Aucun mot de passe nécessaire
L’attaque est dite « non authentifiée » : une requête HTTP spécialement formée suffit. Rien n’est volé, personne ne s’est trompé de mot de passe — c’est le serveur lui-même qui exécute le code de l’attaquant.
Aucune trace dans les journaux
Les exploits publics renvoient leur résultat dans une réponse HTTP ordinaire, sans crash et sans rien écrire dans les logs du serveur. La plupart des intrusions se découvrent des semaines plus tard — quand Google blacklist le site, ou quand l’hébergeur suspend le compte.
Personne ne vous vise
Des scanners parcourent le web en continu, 24 heures sur 24, à la recherche des versions exposées. Vous n’êtes pas une cible choisie : vous êtes une adresse dans une liste. Une fois les codes publics, il ne faut ni talent ni raison — juste attendre son tour.
La configuration n’y change presque rien
La faille est dans le cœur du langage. Des atténuations existent en périphérie, mais ce sont des pansements : la seule porte qui se ferme vraiment, c’est la mise à jour vers une version corrigée.
Où en est votre site ?
La version de PHP n’est pas un détail d’informaticien — c’est une information à laquelle vous avez droit. Entrez l’adresse : on regarde, comme un visiteur anonyme, ce que votre site expose aujourd’hui.
Détection passive : une seule requête, aucun mot de passe, rien de conservé. Ce qui n’est pas visible de l’extérieur ne peut être confirmé que par votre hébergeur — ou par nous, avec un accès.
La proposition : 490 €, deux voies
Un seul prix, deux façons de l’utiliser, selon ce que vaut aujourd’hui votre site actuel. Dans les deux cas, l’essentiel est identique : plus de version condamnée, une base maintenue, et une vérification page par page avant la mise en ligne.
Un site neuf sur un gabarit moderne
Vous repartez sur un gabarit propre, rapide et entretenu. Nous reprenons vos contenus et vos pages, nous préservons votre domaine et, autant que possible, vos adresses et votre référencement. C’est la bonne voie si le site actuel vous gênait aussi sur la forme — ou s’il est déjà infecté : repartir d’une base neuve élimine le code infecté par construction.
Mise à jour technique, à l’identique
Votre site ne change pas d’un pixel : même design, mêmes pages, mêmes adresses. C’est le moteur qu’on remplace — PHP et ses dépendances passent sur une version corrigée et maintenue, l’ensemble est vérifié avant et après. C’est la bonne voie si le site vous convient tel qu’il est.
Ce que couvre le forfait
Le diagnostic
Version de PHP, CMS, extensions, hébergement : l’état exact de l’existant, écrit noir sur blanc, avec la voie recommandée et la raison.
La voie choisie, réalisée
Refonte sur gabarit neuf ou montée de version technique — le travail proprement dit, pas un correctif collé à la hâte.
Vos contenus préservés
Pages, textes, images, adresses : tout est repris puis vérifié page par page. Ce qui bouge est documenté ; ce qui n’est pas signalé ne bouge pas.
La vérification avant mise en ligne
Affichage, navigation, formulaires, référencement : le site est testé avant et après, et le constat vous est remis par écrit.
Les réglages qui réduisent la surface d’attaque
Ce qui s’expose, ce qui doit cesser de s’afficher, ce qui se met à jour tout seul : les mesures d’hygiène appliquées au passage, expliquées en français.
Une documentation courte et claire
Ce qui a été fait, ce qui a changé, où voir la version à jour — une page que votre prochain prestataire, nous ou un autre, pourra lire.
Les parties honnêtes
Ce que le forfait n’est pas
490 € couvre un site vitrine ou équivalent — quelques dizaines de pages, pas une application métier. Un e-commerce lourd, un espace client, un WordPress bardé d’extensions exotiques ou un nettoyage d’intrusion dépassent ce cadre. Nous vous le dirons au diagnostic, et ce sera l’objet d’un devis séparé — pas d’augmentation surprise en cours de route.
Une mise à jour n’est pas un talisman
Nous fermons une porte connue et remettons votre site sur une base entretenue. Aucune prestation sérieuse ne vous promettra un site impénétrable ; ce que nous promettons, c’est que vous ne serez plus la porte ouverte que tout le monde connaît — et que la prochaine porte qui s’ouvrira aura, elle, un correctif qui existe.
Si le site est déjà piraté
Le nettoyage d’une intrusion est un travail distinct de la mise à jour : il fait l’objet d’un devis séparé après diagnostic. C’est aussi le cas où la voie 1 est souvent la plus propre — repartir d’une base saine élimine le code infecté au lieu de le traquer pièce par pièce.
Les questions qu’on nous pose
Mon site est « juste » un site vitrine. Qui irait le pirater ?
+
Personne, précisément — et c’est pour ça que ça arrive. Ces attaques sont automatisées : elles ne choisissent pas une cible, elles essaient toutes les adresses, en continu, toute la nuit. Un site piraté sert à envoyer du spam, à héberger des pages de phishing ou à attaquer d’autres machines — et c’est votre nom, votre domaine et votre réputation qui portent les conséquences.
Mon hébergeur ne s’en occupe pas déjà ?
+
L’hébergement et le site sont deux couches distinctes. Un hébergeur peut parfaitement proposer PHP 8.4 pendant que votre site — trop ancien pour y tourner — reste bloqué sur une version condamnée. Et pour PHP 8.1 et avant, il n’existe rien à « activer » : il n’y aura jamais de correctif. La faille étant dans le langage lui-même, seul un site remis sur une version maintenue referme la porte.
Vous pouvez vraiment deviner ma version sans toucher à mon site ?
+
C’est exactement ce que fait le vérificateur ci-dessus : une requête anonyme, et on lit ce que le site lui-même expose — l’en-tête X-Powered-By, le cookie PHPSESSID, la signature WordPress. Certains sites annoncent tout, d’autres ne laissent rien paraître ; dans ce second cas, la version ne peut être confirmée que côté serveur, par votre hébergeur ou par nous avec un accès. Le vérificateur vous dit honnêtement dans quel cas vous êtes.
Pourquoi 490 € ?
+
Parce que le travail est borné et que les parties répétitives sont traitées à la machine : diagnostic, reprise des contenus, mise à jour, vérification page par page. Vous payez un résultat vérifié, pas du suspense. Et si votre site sort du cadre du forfait, c’est le diagnostic qui le dit — avant tout engagement, pas après.
Combien de temps ça prend ?
+
Typiquement une semaine ouvrée entre l’accès et la mise en ligne vérifiée : un peu plus pour une refonte complète, un peu moins pour une montée de version simple. La vérification gratuite en amont, elle, ne prend que le temps d’un échange.
Vous gardez un accès permanent à mon site ?
+
Non. Les accès sont temporaires et restitués à la fin de la prestation. Ce qui reste chez vous, c’est le site et sa documentation — rien d’autre. Ce que nous livrons doit pouvoir servir à n’importe quel prestataire, nous compris : c’est la règle pour tout ce que nous faisons.
Pourquoi « la troisième voie » ?
+
Parce qu’entre ne rien faire en espérant que ça passe, et la refonte à cinq chiffres qu’on repousse d’année en année, il manquait le tiers chemin : un forfait borné, un prix affiché, et le problème fermé en une semaine. C’est exactement ce que cette page propose.
Où ça se rattache
Legacy Archaeology
Pour le système que plus personne ne comprend : deux semaines pour tout lire, tout tracer et tout écrire, blueprint vérifié à la clé. La même conviction en version fond — on ne répare bien que ce qu’on a compris.
Lire la page →La lecture de cinq minutesCe que « la troisième voie » veut dire
Ni tout-humain, ni tout-machine : la répartition des tâches qui fait que le forfait borné à 490 € peut exister — les agents sur le répétitif, les seniors sur le jugement.
Lire la page →Tout le resteLes autres façons de travailler avec nous
Développement, automatisation, montée en compétences, évaluation des risques — toujours le même moteur, et toujours des engagements bornés.
Lire la page →Plutôt écrire ?
L’adresse de votre site, une question sur le forfait, un doute sur la version détectée — écrivez. Une vraie personne lit chaque message — pas de file d’attente, pas de robot — et nous répondons sous un jour ouvré.
De : vous, directement dans notre boîte
Délai de réponse : un jour ouvré
Filtre anti-spam : invisible, porte réservée aux humains
Le bon vieux e-mail marche aussi : hello@thethirdwaycompany.com