Sommaire
Ça n’arrête pas. Mercredi soir, Matthew Prince, le patron de Cloudflare, a publié sur X le compteur de son réseau : des milliers de tentatives d’exploitation de PHP2Shell dans les dix heures précédant la divulgation, puis des dizaines de milliers dans les 45 minutes qui ont suivi, des centaines de milliers en deux heures… et des millions à présent. Pendant ce temps, des sites gouvernementaux se sont mis hors ligne en Europe et ailleurs, la banque japonaise Mitsubishi UFJ a suspendu certains services internet par précaution, et la Première ministre du Japon Sanae Takaichi a appelé les propriétaires de sites à vérifier leur version de PHP.
Côté hébergeurs, voici où on en est. Automattic se déclare protégé sur toute la ligne — WordPress.com, WordPress VIP, WP Cloud, Pressable, Tumblr : rien à faire. Hostinger a déployé les versions corrigées sur tous ses plans sauf les VPS, avec des règles de pare-feu en renfort — les clients VPS doivent mettre à jour et redémarrer PHP eux-mêmes. Chez GoDaddy, les WordPress managés sont patchés ; l’hébergement web classique et Windows restent couverts par des mitigations en attendant les packages définitifs. Et OVHcloud a patché son hébergement web automatiquement — mais les clients VPS et serveurs dédiés doivent s’en charger eux-mêmes. En bref : sur un mutualisé, le boulot est censé être fait — vérifiez quand même ; sur un VPS, c’est vous aux commandes.
Lento dit : Des millions d’attaques en une journée, et certains préfèrent encore « attendre le week-end » pour patcher. Si vous avez un VPS, arrêtez de lire et allez taper vos commandes : la mise à jour prend cinq minutes, la compromission prend des mois. Et si votre hébergeur mutualisé n’a toujours pas communiqué sur PHP2Shell, posez-lui la question aujourd’hui — un hébergeur qui ne sait pas répondre n’est pas un hébergeur.
De qui parle cet article
