Visiter un site piraté, est-ce dangereux ? La faille PHP et les visiteurs

MacWindowsiPhoneAndroidMis à jour

PHP2Shell est une faille du logiciel qui tourne sur le serveur d'un site web, pas sur votre téléphone ni sur votre ordinateur. Visiter un site en PHP n'expose pas votre appareil à la faille elle-même. Le risque pour les visiteurs vient après, si des attaquants prennent le contrôle d'un site et changent ce qu'il vous affiche. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Les failles PHP rendues publiques le 21 octobre 2026 concernent les installations de PHP qui répondent à des requêtes web, c'est-à-dire des serveurs. Une visite ne fait pas tourner PHP sur votre appareil. Mais Google indique qu'un site piraté peut rediriger vers des pages nuisibles, héberger de l'hameçonnage ou tenter d'installer des logiciels malveillants. Gardez votre navigateur à jour, évitez les téléchargements inattendus et vérifiez l'adresse avant de vous connecter.

Que signifie une faille PHP sur un site pour ses visiteurs ?

La faille se trouve sur le serveur du site. Le manuel de PHP explique que le code PHP est exécuté sur le serveur, qui génère le HTML envoyé ensuite au navigateur, lequel ne reçoit que le résultat. L'avis PHP sur CVE-2026-109618 et CVE-2026-109619 vise les installations qui répondent à des requêtes web, et le NCSC britannique précise que le problème peut permettre à des attaquants d'exécuter des commandes sur n'importe quel serveur web qui utilise PHP.

Les consignes du CERT-FR et de Cybermalveillance.gouv.fr s'adressent donc à ceux qui font tourner PHP. Pour un visiteur, PHP2Shell compte si un site que vous utilisez est piraté, parce que ce qu'il vous montre peut alors changer.

Que peut faire un site piraté à ses visiteurs ?

Les pages de Google destinées aux propriétaires de sites décrivent ce que font les attaquants qui ont accès à un site :

  • Modifier les pages existantes. Google indique que les pirates peuvent injecter du code malveillant dans des pages existantes.
  • Vous envoyer ailleurs. Selon Google, le code injecté peut rediriger certains visiteurs vers des pages nuisibles ou du spam.
  • Ajouter des pages. Google indique que les pirates peuvent ajouter des pages au contenu indésirable ou malveillant, souvent utilisées pour tenter de l'hameçonnage.
  • Tenter d'installer un logiciel. Google indique qu'un contenu piraté peut entraîner l'installation de contenu malveillant sur l'appareil des visiteurs, et montre l'exemple d'une fenêtre trompeuse qui incite à installer un logiciel malveillant.
  • Vous demander votre mot de passe. Google indique qu'un site d'hameçonnage ressemble souvent en tous points au vrai site, et que des pirates peuvent prendre le contrôle de sites inoffensifs pour héberger ce genre de contenu.

Plusieurs de ces attaques ne fonctionnent que si vous acceptez un téléchargement ou tapez un mot de passe sur une fausse page. Les conseils ci-dessous visent ces moments-là.

Mon navigateur me préviendra-t-il d'un site dangereux ?

C'est possible. Chaque grand navigateur a ses propres alertes :

  • Safari sur Mac. Choisissez Safari > Réglages, puis cliquez sur Sécurité. Apple indique que l'option « Avertir lors de l'accès à un site web frauduleux » vous prévient si le site est soupçonné d'hameçonnage.
  • Chrome. Google indique que Chrome affiche un avertissement rouge « Site dangereux » pour les sites d'hameçonnage ou de logiciels malveillants ou indésirables. Sur ordinateur, la protection se règle dans Plus > Paramètres > Confidentialité et sécurité > Sécurité, rubrique Navigation sécurisée.
  • Microsoft Edge. Microsoft indique que SmartScreen compare les sites à une liste dynamique de sites d'hameçonnage et de logiciels malveillants signalés, et vérifie les téléchargements.

Ces listes dépendent des signalements, et Microsoft permet de signaler un site dangereux qui n'a pas été repéré : l'absence d'avertissement ne prouve donc pas qu'un site est sûr.

Comment me protéger quand je visite des sites ?

Quelques habitudes couvrent l'essentiel.

  1. Gardez votre navigateur et votre appareil à jour. Cybermalveillance.gouv.fr demande de faire les mises à jour dès qu'elles sont disponibles, automatiquement si possible.
  2. Ne téléchargez pas ce que vous n'avez pas cherché. Cybermalveillance.gouv.fr prévient qu'une fausse alerte de mise à jour peut cacher un virus, et conseille de ne télécharger les mises à jour que depuis les sites officiels. Sur Mac, Apple présente l'App Store comme la source la plus sûre.
  3. Vérifiez l'adresse avant de taper un mot de passe. Apple cite parmi les signes d'hameçonnage un lien dont l'URL ne correspond pas au site de l'entreprise. Sur Mac, passez le pointeur sur le lien pour voir l'URL ; sur iPhone ou iPad, touchez le lien en maintenant le doigt dessus. Cybermalveillance.gouv.fr rappelle qu'un seul caractère peut changer dans l'adresse pour vous tromper.
  4. Utilisez un gestionnaire de mots de passe. Cybermalveillance.gouv.fr conseille un mot de passe différent pour chaque service, et un gestionnaire de mots de passe sécurisé pour s'en charger.
  5. Activez la double authentification. Cybermalveillance.gouv.fr conseille de l'activer partout où c'est possible.

Et si j'ai déjà tapé un mot de passe ou téléchargé quelque chose ?

Pour un mot de passe, Cybermalveillance.gouv.fr demande de le changer sur le site concerné et partout où vous l'utilisez. Pour un téléchargement suspect, il conseille de déconnecter l'appareil d'Internet, puis de lancer une analyse complète avec un antivirus à jour. Si vous avez saisi vos coordonnées bancaires, faites opposition immédiatement auprès de votre banque.

En France, signalez un site d'hameçonnage à Phishing Initiative ; Info Escroqueries répond au 0 805 805 817. En Suisse, l'Office fédéral de la cybersécurité reçoit les signalements volontaires d'incidents ; au Canada, le Centre antifraude recueille l'information sur la fraude et le vol d'identité.

Le rôle de Failshot

Failshot est une deuxième couche de sécurité pour votre Mac, pour un autre moment : quelqu'un qui utilise votre Mac en personne. Votre mot de passe est la première couche, et Failshot est celle qui vient après. Quand il est activé, il prend en photo la personne qui déverrouille votre Mac, puis, avec Pro, enregistre une vidéo de 5 secondes, et sa fenêtre lui indique que le déverrouillage a été photographié. Pour le désactiver, ou le quitter depuis son menu, il faut Touch ID ou votre code PIN Failshot et votre réponse, jamais le mot de passe de votre Mac.

L'application Mac se télécharge gratuitement sur failshot.app, pour macOS 14 ou une version ultérieure. Utilisation gratuite. Pro ajoute la vidéo, les alertes par e-mail et le coffre-fort chiffré. Essayez Failshot Pro pour Mac gratuitement pendant 7 jours sur failshot.app. Votre carte est demandée à l'inscription et débitée le 8e jour, sauf si vous annulez. L'application est en anglais. Les versions pour iPhone, Android et Windows arrivent bientôt.

Autres questions

Est-ce dangereux de visiter un site touché par la faille PHP ?

La faille est sur le serveur du site, pas dans votre navigateur. Le souci pour les visiteurs, c'est un site dont quelqu'un a pris le contrôle : méfiez-vous alors des téléchargements inattendus, des redirections et des demandes de connexion.

Peut-on savoir si un site utilise PHP ?

Pas de façon fiable. Le manuel de PHP indique qu'un serveur web peut être configuré pour traiter tous ses fichiers HTML comme du PHP, et qu'il n'y a alors aucun moyen pour les utilisateurs de savoir que PHP est utilisé.

Le propriétaire d'un site sait-il toujours que son site est piraté ?

Pas toujours. Google indique qu'il n'est pas rare que le pirate utilise le cloaking pour que le propriétaire du site ait plus de mal à détecter le piratage. La prudence avec les téléchargements et les mots de passe vaut donc aussi sur les sites que vous connaissez.

PHP2Shell a-t-il été utilisé contre des sites ?

Au 23 octobre 2026, la CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, et le Centre canadien pour la cybersécurité écrivait le 23 octobre qu'aucune exploitation active n'avait été observée pour le moment. Le CERT-FR a connaissance de preuves de concept.

Mon téléphone est-il concerné ?

Pas directement. PHP2Shell concerne des serveurs, pas des téléphones. Un site piraté peut tout de même afficher une fausse page de connexion sur n'importe quel appareil : les mêmes habitudes s'appliquent.

Sources