Binadit · 3 novembre 2026

Les choses se sont bien passées pendant des années, jusqu'à ce que l'IA commence à chercher pourquoi les anciennes fuites constituent désormais un risque pour votre entreprise.

La fuite de PHP a duré environ 14 ans. Une fuite dans Linux 9 ans. Pendant tout ce temps, le logiciel continuait à tourner et tout semblait aller bien. Jusqu'à ce que l'IA rende la recherche d'erreurs beaucoup plus rapide. Cela change une hypothèse fixe de nombreux entrepreneurs : ce qui s'est bien passé pendant longtemps ne continue pas à bien se passer tout seul.

OpenBSD, 27 ans

FFmpeg, 16 ans

PHP, environ 14 ans

Linux, échec de copie, 9 ans

Linux, CVE-2026-31695, presque 5 ans

De vieilles erreurs refont surface

Ce n'est pas un logiciel de passe-temps inconnu. C'est un logiciel sur lequel les entreprises, les gouvernements et une grande partie du Web fonctionnent. Des milliers de développeurs l'ont regardé, et pourtant ces erreurs ont persisté pendant des années.

PHP : 14 ans sans rien faire

Les fuites qui sont devenues connues sous le nom de PHP2Shell, CVE-2026-109618 et CVE-2026-109619, étaient dans le code depuis PHP 5.4 en 2012. Une variante limitée a déjà été trouvée en 2024, mais n'était pas considérée comme importante à l'époque. En août 2026, des groupes de recherche ont trouvé les erreurs à l'aide de l'IA. Puis ça s'est passé vite. En environ une semaine, il y a eu des attaques de travail sur WordPress et Drupal prêtes dans l'enquête. Le 21 octobre, les mises à jour sont arrivées et Cloudflare a vu des dizaines de milliers de tentatives d'attaque, puis des millions, en 45 minutes. Palo Alto Networks comptait 22,6 millions d'installations potentiellement vulnérables. Aux Pays-Bas, les sites gouvernementaux, de santé et d'information sont temporairement hors ligne en prévision des correctifs. Passer hors ligne ne signifie pas qu'un site a été piraté, c'était souvent une précaution. Le 22 octobre, le NCSC a déclaré qu'il n'avait encore vu aucun abus sur les sites Web néerlandais.

Linux : même modèle

Copy Fail, CVE-2026-31431, était dans le noyau Linux depuis 2017 et a été trouvé avec l'aide de l'IA. Cela permet à un utilisateur ordinaire de devenir root sur le système. CVE-2026-31695 était dans le noyau depuis près de cinq ans, et un exploit de travail a maintenant été signalé. ZcopyReaper, CVE-2026-43502, existe depuis le noyau 4.17. Les erreurs récentes sont également plus visibles. Fragnesia, CVE-2026-46300, n'est pas une ancienne fuite mais est entrée via un patch précédent. Il figure sur la liste des abus actifs de la CISA depuis le 28 octobre. Là, il est lié à PHP2Shell : d'abord via le site Web, puis un contrôle total sur le serveur.

Ce n'est que le début

L'IA rend non seulement les chercheurs plus rapides, mais aussi les attaquants. OpenAI reconnaît lui-même que les mêmes capacités peuvent aider les attaquants à créer rapidement des outils d'attaque. Le NCSC britannique a déjà averti en mai d'une vague de mises à jour urgentes dans tous les types de logiciels, y compris open source et SaaS. Personne ne sait quel logiciel est le suivant. Cependant, il est clair qu'il y a encore beaucoup de vieux code qui n'a jamais été examiné aussi minutieusement que possible maintenant. Alors comptez sur plus de ce genre de semaines.

Ce que cela signifie pour vous en tant qu'entrepreneur

Peut-être pensez-vous : mon site Web fonctionne depuis dix ans sans aucun problème. C'est ce que beaucoup de gens sur le Web ont dit à propos de PHP. Une fuite peut signifier que les données des clients sont dans la rue, que votre boutique en ligne ou votre application est en panne ou que des attaquants détruisent votre serveur. Viennent ensuite les questions des clients, les coûts de réparation, les ventes manquées et parfois un rapport au régulateur. Les atteintes à la réputation commencent souvent par un message d'un client : qu'est-il arrivé à mes données ? Les attaquants n'ont pas à vous choisir. Chez PHP2Shell, les tentatives se sont chiffrées en millions. Vous n'êtes donc pas une cible parce que vous êtes grand, mais parce que vous êtes en ligne.

Votre code et votre serveur sont deux problèmes différents

Vous pouvez corriger les fuites en PHP et Linux sur le serveur. Les erreurs dans votre propre site Web ou application sont dans votre code : un formulaire qui ne vérifie pas la saisie, une page sans autorisation, une clé dans le référentiel. Aucune mise à jour d'un fournisseur ne le corrigera. Peu importe qui a écrit le code. Qu'il ait dix ans ou qu'il ait été fabriqué la semaine dernière, un attaquant vérifie simplement si cela fonctionne.

Ce que peut coûter une fuite

En cas de sécurité insuffisante, l'autorité néerlandaise de protection des données peut imposer une amende. En vertu de l'article 83 du RGPD, il peut s'élever à 10 millions d'euros ou à 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En décembre 2025, le HAN a été condamné à une amende de 175 000 € . Un attaquant avait abusé d'une fuite dans un formulaire Web en 2021. L'AP a ensuite examiné la sécurité, comme les droits excessifs, la journalisation limitée et les mots de passe mal sécurisés.

Votre obligation d’effort selon le RGPD et NIS2

Le RGPD et la loi sur la cybersécurité n'exigent pas la perfection. Ils demandent des mesures appropriées qui correspondent à vos risques. L'article 32 du RGPD mentionne également une procédure pour tester, évaluer et évaluer les mesures à intervalles réguliers. La loi sur la cybersécurité est en vigueur depuis le 15 août 2026 et, selon le NCSC, concerne plus de 8 000 organisations. L'article 21 mentionne, entre autres, le développement sûr, la réponse aux vulnérabilités et la sécurité de la chaîne d'approvisionnement. Si vous n'en faites pas partie vous-même, un client qui en fait partie peut toujours demander des preuves. Un scan de code ou un scan de serveur n'est pas une marque de qualité. Cependant, un rapport permet de montrer ce que vous avez vérifié, ce que vous avez trouvé et ce que vous avez résolu. Surtout quand quelque chose arrive, c'est précieux.

Il est temps d'agir

1. Vérifiez quelles versions de PHP, Node.js et du noyau sont réellement en cours d'exécution. 2. Corrigez et redémarrez. 3. Remplacez le logiciel sans assistance. PHP 8.2 prendra fin le 31 décembre 2026. 4. Recherchez des signes d'abus. 5. Faites vérifier votre propre code, y compris les anciennes pièces que plus personne ne regarde. 6. Capturez ce que vous avez fait. Utilisez notre auto-contrôle gratuit comme point de départ.

Comment Binadit aide

Avec Binadit Code Scan, nous vérifions le code de votre site Web ou de votre application, à un prix fixe et sans compte. Avec l'analyse du serveur, nous examinons également le niveau et la configuration des correctifs. Nous traitons votre code avec soin, signons un accord de non-divulgation et chaque constatation est examinée par un humain. Découvrez les forfaits.

Afficher l'analyse du code Binadit Faites scanner votre site Web Faites scanner votre candidature Afficher l'analyse du serveur Autocontrôle gratuit Conditions