Équipe de développementMadagascar et France
Urgence PHP2Shell · CVE-2026-109618 et CVE-2026-109619Sooatek est une équipe de développement basée à Madagascar, avec des associés en France. Face à PHP2Shell, nous diagnostiquons vos serveurs, posons la parade d’urgence, appliquons le correctif et migrons les versions de PHP qui n’en recevront pas.
§ 01 / Alerte PHP2Shell
Les failles se trouvent dans le moteur PHP lui-même : un code applicatif propre ne suffit pas à s’en protéger. Seule une mise à jour de PHP sur le serveur les corrige.
Critique
Mise à jour : 22/10/2026
20/10/2026
PHP annonce un correctif pour deux failles critiques. Les détails fuitent avant la publication ; des premières attaques sont signalées le 21 au matin.
21/10/2026 · 16 h
Nouvelles versions de PHP 8.2 à 8.5. Les branches plus anciennes, en fin de vie, ne sont pas corrigées.
Dans la foulée
Sansec s’attendait à des attaques automatisées dans le quart d’heure suivant la publication du correctif.
Inventaire de chaque serveur et conteneur qui exécute PHP, version réellement servie par le serveur web (pas seulement celle de la ligne de commande), sites exposés et priorités.
Filtrage en amont de PHP des requêtes qui déclenchent la faille (envois « multipart/form-data »). Effet de bord assumé : les envois de fichiers (CV, documents, images) et certains formulaires sont coupés tant que la parade est en place. Nous vous le disons avant, et nous la retirons dès que PHP est à jour.
Mise à jour de PHP 8.2 à 8.5 vers la version corrigée, vérification sur une requête réellement servie, puis retrait de la parade.
PHP 5.x, 7.x, 8.0 et 8.1 ne recevront pas de correctif : nous migrons l’application vers PHP 8.3 ou 8.4, avec la méthode décrite plus bas.
Sur nos propres serveurs, nous avons appliqué cette parade dès le 21/10/2026.
Sources Sansec SecurityWeek IT-Connect
§ 02 / Migration PHP
PHP2Shell l’a montré : une version hors support reste exposée quand une faille sort. Nous visons PHP 8.3 ou 8.4, selon vos dépendances et votre hébergement.
| Version | Sécurité jusqu’au | Statut |
|---|---|---|
| PHP 8.1 et avant | Fin de vie | Exposée |
| PHP 8.2 | 31/12/2026 | À migrer |
| PHP 8.3 | 31/12/2027 | Cible |
| PHP 8.4 | 31/12/2028 | Cible |
| PHP 8.5 | 31/12/2029 | Maintenue |
Source : php.net, versions maintenues, consulté le 22/10/2026.
Versions, extensions, dépendances, tâches planifiées, environnements : tout est listé avant de toucher au code.
L’application tourne côte à côte sur l’ancienne et la nouvelle version de PHP.
Mêmes parcours, mêmes données : les écarts sont relevés, corrigés et vérifiés.
Rien ne part en production sans votre accord écrit, au moment que vous choisissez.
L’ancienne version reste prête à être remise en service si un problème apparaît.
§ 03 / Symfony et Drupal
Une application Symfony ou Drupal ancienne bloque souvent la montée de version de PHP. Nous traitons les deux ensemble, marche par marche.
PHP 8.2 minimum
Version à support long : correctifs jusqu’en novembre 2028, sécurité jusqu’en novembre 2029.
PHP 8.4 minimum
Branche courante (8.1), puis 8.2 annoncée pour novembre 2026 : pour suivre les nouveautés au fil des versions.
Depuis Drupal 9 ou 10
Drupal 9 n’est plus maintenu, et Drupal 10 ne l’est plus que dans sa dernière branche (10.6). Nous migrons vers Drupal 11.
Chaque avertissement de dépréciation est relevé et corrigé avant de changer de version majeure.
Les changements mécaniques sont automatisés avec Rector, puis relus.
Des tests sur les parcours critiques sécurisent chaque marche, et restent dans votre dépôt.
Sources : symfony.com/releases · drupal.org, cycle de publication, consultées le 22/10/2026.
§ 04 / Services
En direct, ou en marque blanche pour les agences : vous gardez la relation avec votre client, nous livrons sous votre nom.
Service 01
Votre projet cadré : périmètre, fourchette, risques, planning.
Point de départ de tout projet
Service 02
Un score sur 100, les failles classées, un verdict clair et un plan de correction.
Service 03
Vos applications à jour et surveillées, avec des délais de prise en charge écrits.
Service 04
Fin du support de sécurité de PHP 8.2 le 31/12/2026 : migrez au forfait.
Aussi
Quand la tâche est précise et répétitive (reconnaître, classer, transcrire, extraire) et que les modèles généralistes se trompent sur votre langue, votre vocabulaire ou vos images.
§ 05 / Méthode
Un périmètre écrit et un prix connu avant de commencer. Rien n’est lancé sans votre accord.
Votre application, sa version de PHP, son framework, son hébergement : quelques lignes suffisent.
Nous inventorions vos serveurs et votre code, puis écrivons les risques et le périmètre.
Un périmètre découpé en lots, un prix au forfait. Vous décidez.
Lot par lot, code sur votre Git, mise en production validée par vous, retour arrière prévu.
§ 06 / Questions
Oui s’il est servi par PHP 5.4 ou une version plus récente, ce qui couvre presque tous les sites PHP : WordPress, Drupal, Symfony, Laravel, Magento et les applications sur mesure. La mise à jour de PHP vers la version corrigée (branches 8.2 à 8.5) supprime la faille. En PHP 8.1 ou plus ancien, aucun correctif officiel n’existe. Le diagnostic commence par vérifier la version réellement servie par votre serveur web.
Poser la parade d’urgence : filtrer en amont de PHP les requêtes qui déclenchent la faille. Elle coupe les envois de fichiers et certains formulaires, et elle ne remplace pas une version maintenue. Elle donne le temps de préparer la migration proprement, sans travailler dans l’urgence.
Cela dépend de l’inventaire : version de départ, nombre d’applications, dépendances, présence de tests, environnements disponibles. Nous ne donnons pas de durée au hasard : elle est écrite et chiffrée après le diagnostic, lot par lot.
Oui, en marque blanche : vous gardez la relation avec votre client, nous intervenons sous votre nom, avec vos outils si vous le souhaitez. Nous travaillons aussi en direct avec les entreprises.
Notre équipe de développement, basée à Madagascar, avec des associés en France. Chaque action est annoncée avant, vérifiée après, et précédée d’une sauvegarde.
§ 07 / Contact
Dites-nous quelle application est concernée, sa version de PHP et où elle est hébergée. Nous revenons vers vous par écrit avec un premier avis et la suite possible.