Pas notre faille, mais notre problème

Pourquoi le monde .NET / Umbraco doit prendre au sérieux la vulnérabilité PHP2Shell

Deux failles critiques de PHP ont exposé cette semaine des millions de sites WordPress et d’autres sites PHP. Les sites Umbraco ne sont pas concernés, mais à l’ère de l’IA, aucune plateforme ne peut baisser la garde. Voici pourquoi .NET est mieux placé, et ce que tout propriétaire de site devrait faire dès maintenant.

Umbraco · Sécurité

Corriger. Protéger. Anticiper.

Le 20 octobre, le projet PHP a signalé deux failles critiques dans PHP lui-même : CVE-2026-109618 et CVE-2026-109619. Les détails ont fuité avant que le correctif soit prêt. Les correctifs sont arrivés le 21 octobre avec PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, alors que du trafic d’attaque était déjà signalé. Les deux failles peuvent permettre à un attaquant d’exécuter son propre code sur un serveur web sans se connecter.

Si votre site fonctionne sous Umbraco, vous n’êtes pas concerné. Umbraco repose sur Microsoft .NET et n’utilise pas PHP. Ce n’est pas une raison pour relâcher votre vigilance. Cet article explique pourquoi les sites .NET et Umbraco sont mieux placés, et pourquoi toutes les plateformes doivent renforcer leur sécurité maintenant que les attaquants utilisent eux aussi l’IA.

Points clés

Umbraco n’est pas concernéLes failles se trouvent dans l’interpréteur PHP. Umbraco fonctionne sous .NET : il n’y a rien à corriger cette fois-ci.

L’échelle attire les attaquantsPHP fait tourner la majeure partie du web, et WordPress en est la principale raison. Une seule faille ouvre des millions de portes.

Le propriétaire compteMicrosoft possède .NET et le corrige selon un calendrier mensuel fixe. Umbraco suit de près.

L’IA raccourcit les délaisLes attaquants peuvent transformer un correctif publié en exploit fonctionnel bien plus vite qu’avant, sur n’importe quelle plateforme.

Placez un bouclier devantUn pare-feu applicatif web comme Cloudflare vous protège entre l’annonce d’une faille et la mise en ligne de votre correctif.

Ce qui s’est passé

Les deux failles se situent au cœur de PHP, dans la façon dont il fait le ménage après une requête qui manque de mémoire ou rencontre une erreur fatale. Dans certaines conditions, des données laissées par une requête peuvent servir à prendre le contrôle du serveur. Toute installation PHP qui sert des pages web est exposée, quel que soit le serveur web utilisé. Palo Alto Networks a recensé plus de 22 millions de serveurs exposés, et les anciennes versions de PHP qui ne sont plus maintenues ne recevront aucun correctif.

Pourquoi WordPress fait de PHP une cible plus grande

Environ 70 % des sites web utilisent une version de PHP, et WordPress en représente une large part. Quand une seule plateforme fait tourner une telle part du web, une seule faille vaut la peine d’être exploitée de façon automatisée. Les attaquants analysent tout internet en quelques heures. Ils n’ont pas besoin de savoir qui vous êtes, seulement ce que vous utilisez.

L’écosystème d’extensions accroît le risque. Un site WordPress typique dépend de dizaines d’extensions d’auteurs différents, chacun avec sa propre approche des mises à jour. Beaucoup de sites sont configurés une fois puis laissés sur un hébergement mutualisé, avec la version de PHP choisie par l’hébergeur il y a des années.

Pourquoi .NET est en meilleure position

.NET appartient à Microsoft, qui en assure la maintenance. Les correctifs de sécurité passent par le Microsoft Security Response Center et sont publiés selon un calendrier mensuel fixe, le Patch Tuesday, avec des versions d’urgence si nécessaire. Sur les serveurs Windows, les mises à jour de .NET peuvent arriver par Microsoft Update avec celles du système d’exploitation.

Un support prévisibleChaque version de .NET a une date de fin de support publiée. Les versions à support long terme reçoivent trois ans de correctifs : vous savez toujours où vous en êtes.

Du code compiléLe code de l’application est compilé avant d’être déployé. Un fichier envoyé sur le serveur ne peut pas simplement être exécuté comme du code, ce qui ferme l’une des voies les plus courantes de prise de contrôle des sites PHP.

Un seul propriétaireLe runtime, le framework et le serveur web Windows viennent d’une seule entreprise, dotée de l’une des plus grandes équipes de sécurité au monde et qui a beaucoup à perdre.

Cela ne rend pas .NET invulnérable. En octobre 2025, Microsoft a corrigé une faille critique dans le serveur web d’ASP.NET Core. La différence tient à la rapidité du correctif, à la clarté de la communication et à la facilité de son application.

Comment Umbraco reste à jour

Umbraco suit .NET de près. Ses versions à support long terme s’alignent sur celles de .NET : Umbraco 17 fonctionne sous .NET 10. Umbraco HQ publie ses avis de sécurité ouvertement sur GitHub et diffuse les correctifs sous forme de versions de maintenance, qui s’appliquent généralement en quelques minutes sans mise à niveau complète.

Si vous utilisez une ancienne version qui ne reçoit plus de correctifs, lisez Votre mise à niveau Umbraco, planifiée en cinq étapes.

Pourquoi être plus petit aide

Umbraco fait tourner bien moins de sites que WordPress. Ce n’est pas une garantie de sécurité, mais cela change l’économie d’une attaque. Les attaques automatisées vont là où sont les chiffres. Les sites Umbraco sont aussi généralement créés par des agences et des équipes de développement internes, utilisent un ensemble plus restreint de packages bien maintenus, et sont le plus souvent suivis dans le cadre d’un contrat de support. Moins de sites, moins d’extensions et plus de personnes vigilantes : la cible est plus petite.

À l’ère de l’IA, toutes les plateformes sont exposées

Les outils d’IA aident désormais les attaquants à lire un correctif de sécurité, à comprendre ce qu’il corrige et à écrire un exploit fonctionnel, parfois en quelques heures. Les failles PHP ont suivi ce schéma : les détails ont fuité avant le correctif, et des exemples fonctionnels ont circulé peu après. Le délai entre la publication d’un correctif et le début des attaques est devenu quasi nul, et cela vaut autant pour .NET et Umbraco que pour le reste.

Partez du principe que toute vulnérabilité sera exploitée le jour même de son annonce, quelle que soit votre plateforme.

Ce que nous faisons, et ce que vous pouvez faire

Placez Cloudflare devantUn pare-feu applicatif web filtre les attaques avant qu’elles n’atteignent votre serveur. Cloudflare détectait et filtrait déjà du trafic d’attaque visant ces failles PHP, et met rapidement à jour ses règles gérées après les annonces importantes.

Fermez la porte de serviceUne fois Cloudflare en place, bloquez le trafic direct vers l’adresse IP de votre serveur pour que les attaquants ne puissent pas le contourner.

Corrigez selon un calendrierAppliquez les mises à jour .NET et Windows chaque mois, et les versions de maintenance d’Umbraco dès leur sortie. Ne les gardez pas pour la prochaine mise à niveau.

Restez sur des versions maintenuesLes versions de .NET et d’Umbraco hors support ne reçoivent aucun correctif. Planifiez les mises à niveau avant la fin du support, pas après.

Utilisez moins de packagesChaque package est du code auquel vous devez faire confiance. Supprimez ce que vous n’utilisez plus.

Verrouillez le back-officeActivez l’authentification à deux facteurs pour chaque éditeur, et limitez l’accès au back-office Umbraco par adresse IP ou avec Cloudflare Access lorsque c’est possible.

Surveillez et sauvegardezSurveillez toute activité inhabituelle et conservez des sauvegardes testées hors du serveur, pour pouvoir vous rétablir rapidement si quelque chose passe à travers.

Si vous utilisez WordPress ou d’autres sites PHP

Mettez PHP à jour dès maintenant en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou demandez à votre hébergeur de confirmer qu’il l’a fait. Si votre site utilise une ancienne version de PHP qui n’est plus maintenue, il n’y a pas de correctif, et il est temps de prévoir une migration.

Si vous souhaitez un audit de sécurité de votre site Umbraco, de l’aide pour placer Cloudflare devant, ou des conseils pour quitter une plateforme qui n’est plus maintenue, contactez-nous.