Données personnelles piratées, que faire ? La faille PHP et vos données

MacWindowsiPhoneAndroidMis à jour 2026-10-31

Une faille est une faiblesse, et une faiblesse sur un site n'équivaut pas à un vol de vos données. PHP2Shell désigne deux failles critiques de PHP, le langage de nombreux sites web, corrigées le 21 octobre 2026. L'AlerteCyber de Cybermalveillance.gouv.fr indique qu'en cas d'exploitation, elles pourraient permettre de voler ou de détruire des données confidentielles. Au 23 octobre 2026, aucun avis officiel ne donne de liste d'entreprises ou de clients touchés.

Réponse rapide

Pas forcément. PHP2Shell est une faille des serveurs web, et un serveur vulnérable ne veut pas dire que des données en ont été prises. Si un site que vous utilisez subit une violation de données et que le risque pour vous est élevé, la CNIL indique que l'organisme doit vous prévenir. En attendant, utilisez des mots de passe différents, activez la double authentification et méfiez-vous des messages qui parlent de fuite.

La faille PHP veut-elle dire que mes données ont été volées ?

Non, pas à elle seule. Cybermalveillance.gouv.fr définit une fuite de données comme l'accès ou la divulgation non autorisés d'informations personnelles détenues par un tiers. PHP2Shell est une faiblesse qui pourrait permettre cela sur un serveur non corrigé. Seul l'organisme qui gère un site peut établir si quelque chose y a réellement été pris.

Ce que disent les sources officielles, au 23 octobre 2026 :

Le projet PHP a publié des versions corrigées le 21 octobre et demande à tous les utilisateurs de PHP de mettre à jour.
La CISA, l'agence américaine de cybersécurité, indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication.
Le CERT-FR indique avoir connaissance de preuves de concept, sans dire que les failles sont exploitées.

Aucune ne parle d'une boutique, d'une banque ou d'un service en particulier. Notre guide sur la faille PHP présente les failles.

Comment saurais-je qu'un site que j'utilise a subi une fuite ?

L'organisme doit vous le dire si le risque est élevé. En France, la CNIL indique que l'organisme doit notifier la violation à la CNIL au plus tôt et dans un délai maximal de 72 heures si elle présente un risque pour les personnes, et qu'en cas de risque élevé il doit aussi informer les personnes concernées. Ces règles s'appliquent à tout organisme qui traite des données personnelles, quelle que soit sa taille.

En Belgique, l'Autorité de protection des données demande aux organismes de lui notifier une violation dans les meilleurs délais et si possible dans les 72 heures, sauf absence de risque. En Suisse, le guide du PFPDT sur les violations de données fixe les conditions d'information des personnes concernées. Au Canada, les organisations soumises à la LPRPDE doivent aviser dès que possible les personnes touchées par une atteinte qui présente un risque réel de préjudice grave.

La voie normale, c'est donc un message de l'organisme lui-même. Si vous recevez un tel communiqué, Cybermalveillance.gouv.fr conseille de le lire attentivement pour savoir quelles données sont touchées, et de contacter l'organisme si besoin pour confirmer. Faites-le par ses coordonnées officielles, pas par les liens ou les numéros du message reçu.

Faut-il changer mon mot de passe sur ce site ?

Si le site annonce une fuite, oui. Cybermalveillance.gouv.fr demande alors de changer le mot de passe sur le site concerné et sur tout autre compte qui utilise le même.

Allez sur le site en tapant vous-même son adresse ou par son application, pas par un lien reçu par e-mail ou SMS.
Changez le mot de passe dans les réglages de sécurité du compte.
Changez-le partout où vous utilisiez le même.
Utilisez un mot de passe différent pour chaque service. Cybermalveillance.gouv.fr conseille au moins 12 caractères, et un gestionnaire de mots de passe sécurisé pour s'en charger à votre place.

Cybermalveillance.gouv.fr décrit le mot de passe de votre messagerie comme l'un des plus importants à protéger, parce que la messagerie sert à réinitialiser les autres comptes.

Faut-il activer la double authentification ?

Oui, partout où elle est proposée, comme le conseille Cybermalveillance.gouv.fr, y compris après une fuite. Elle ajoute une confirmation après le mot de passe, comme un code reçu par SMS ou par une application.

Commencez par votre messagerie, puis vos comptes bancaires et vos comptes de boutiques en ligne. Pour un compte Apple, voyez notre guide (en anglais) sur l'identification à deux facteurs du compte Apple.

Comment repérer les arnaques qui profitent de l'actualité ?

Cybermalveillance.gouv.fr prévient que des escrocs peuvent utiliser des données volées pour se faire passer pour votre banque ou un service officiel, et conseille de toujours vérifier votre interlocuteur en le joignant vous-même par ses coordonnées officielles, surtout si l'on vous demande d'agir vite. Ne communiquez jamais de code ni de mot de passe.

Signes d'hameçonnage cités par Cybermalveillance.gouv.fr :

une offre trop alléchante ou une pièce jointe inattendue
une adresse d'expéditeur fantaisiste
une adresse de site où un seul caractère a changé

En France, signalez un e-mail suspect à Signal Spam, un SMS suspect au 33700, et l'adresse d'un site d'hameçonnage à Phishing Initiative.

Que vérifier dans mes comptes ?

Cybermalveillance.gouv.fr suggère de regarder la date et l'heure de la dernière connexion quand le site les affiche, pour repérer des connexions anormales. Parmi les signes d'un compte piraté, il cite un compte auquel vous n'arrivez plus à vous connecter, des appareils inconnus dans l'historique de connexion, ou des messages envoyés à vos contacts que vous n'avez pas écrits. Si c'est votre cas, suivez sa fiche sur le piratage de compte, ou lisez notre guide (en anglais) sur une connexion inconnue à votre compte.

Si votre IBAN fait partie des données touchées, Cybermalveillance.gouv.fr conseille de prévenir votre banque et de surveiller vos opérations. En cas de prélèvement non autorisé, demandez le remboursement à votre banque et faites opposition si besoin. En cas d'usage frauduleux de vos données, gardez toutes les preuves et portez plainte au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République.

Autres questions

Puis-je vérifier si mon adresse e-mail figure dans une fuite de données ?

Le NCSC britannique cite des outils comme haveibeenpwned.com, ou des fonctions semblables dans des gestionnaires de mots de passe et des antivirus, pour voir si vos données apparaissent dans des fuites publiques. Un résultat porte sur les fuites passées que l'outil connaît, pas sur PHP2Shell en particulier.

Une entreprise me préviendra-t-elle toujours d'une fuite ?

Pas toujours. Selon la CNIL, l'organisme doit informer les personnes concernées quand le risque est élevé, avec des exceptions, par exemple des données rendues incompréhensibles par un chiffrement solide. Une fuite à moindre risque peut donc ne pas vous être annoncée. Vous pouvez toujours demander à l'organisme ce qui s'est passé.

Comment me plaindre de la façon dont une entreprise a traité mes données ?

Adressez-vous d'abord à l'organisme. La CNIL demande d'exercer d'abord vos droits auprès de lui et de conserver les preuves de votre demande, et indique qu'il doit répondre sous un mois maximum. Sans réponse satisfaisante, vous pouvez déposer une plainte en ligne auprès de la CNIL.

Où trouver de l'aide en France ?

Le service 17Cyber, gratuit et disponible 24h/24 et 7j/7, propose un diagnostic et des conseils aux victimes de cybermalveillance. La plateforme Info Escroqueries répond au 0 805 805 817.

Dois-je installer quelque chose sur mon téléphone ou mon ordinateur ?

Pas à cause de PHP2Shell. Les failles sont dans des serveurs web, que leurs propriétaires mettent à jour. Cybermalveillance.gouv.fr conseille tout de même de faire les mises à jour de vos appareils dès qu'elles sont disponibles.

Ma banque va-t-elle me demander de confirmer mes informations à cause de cela ?

Cybermalveillance.gouv.fr rappelle de ne jamais communiquer vos données bancaires ou vos mots de passe par e-mail ou par téléphone. Si un message parlant d'une fuite vous demande de vous connecter ou de confirmer vos informations, contactez l'organisme par son site ou son application officiels.