En bref : mandater un prestataire de sécurité informatique vaut la peine s'il y a des signes d'intrusion, si d'anciennes versions de PHP tournent sans mise à jour officielle, si le temps ou les compétences manquent en interne ou si des questions juridiques sont en jeu. Si votre site est chez un hébergeur qui confirme par écrit le correctif et le redémarrage, ou si votre propre informatique peut mettre à jour et contrôler elle-même une version de PHP prise en charge, vous n'avez souvent pas besoin d'aide externe pour PHP2Shell.
La question que beaucoup se posent en ce moment
Dans la semaine qui a suivi le 21/10/2026, de nombreuses entreprises ont regardé de plus près, pour la première fois, qui s'occupe en réalité de leurs serveurs web. Le résultat a souvent été décevant : l'agence est responsable des contenus, l'hébergeur du matériel, et la version de PHP sur le vieux vServer, personne ne la connaît exactement.
En même temps : toutes les entreprises n'ont pas besoin d'un prestataire de sécurité dans cette situation. Celui qui examine honnêtement ce qui est possible en interne économise de l'argent et garde le contrôle. Celui qui se surestime risque qu'une intrusion passe inaperçue. Cet article aide à y voir clair, sans vouloir vous vendre ce dont vous n'avez pas besoin.
Corriger soi-même ou mandater un prestataire de sécurité informatique : les critères
| Critère | Corriger soi-même | Mandater un prestataire |
|---|---|---|
| Modèle d'hébergement | Hébergement mutualisé ou managé avec correctif confirmé | Serveur propre sans suivi, responsabilité floue |
| Version de PHP | 8.2 à 8.5, mise à jour officielle ou rétroportage de la distribution disponible | 8.1 ou antérieure, seulement rétroportages de sources ou sources tierces |
| Nombre de systèmes | Un ou quelques sites, bien documentés | Nombreux serveurs, environnements mixtes, conteneurs |
| Compétence interne | Admin avec droits serveur, expérience de la gestion des paquets et des redémarrages | Personne avec accès ni expérience disponible |
| Signes d'intrusion | Aucune anomalie après vérification | Fichiers, processus, comptes ou connexions inconnus |
| Données personnelles | Aucune donnée sensible sur le système | Données clients, de santé ou de paiement |
| Assurance et obligations de notification | Aucun lien | L'assureur ou la protection des données doivent être associés |
| Besoin de preuve | Une note interne suffit | Rapport nécessaire pour la direction, un audit ou l'assureur |
Si plusieurs lignes de la colonne de droite s'appliquent à votre situation, tout plaide pour une aide externe. Si seule la colonne de droite s'applique à « Besoin de preuve », un soutien ciblé pour la documentation suffit souvent.
Un auto-test en sept questions
Répondez aux questions par oui ou par non. Chaque non indique où vous pourriez avoir besoin d'aide.
- Savez-vous, pour chaque site, sur quel serveur et avec quelle version de PHP il tourne ?
- Pouvez-vous prouver que cet état est corrigé contre CVE-2026-109618 et CVE-2026-109619, par exemple via le journal des modifications du paquet ? Le mode d'emploi est dans Vérifier correctement la version de PHP et l'état des correctifs.
- Quelqu'un dans l'entreprise a-t-il les droits et les connaissances pour mettre PHP à jour et redémarrer tous les workers ?
- Pour les sites chez l'hébergeur, avez-vous une confirmation écrite du correctif et du redémarrage ? Un modèle est proposé dans Comment interroger votre hébergeur sur l'état des correctifs.
- Quelqu'un a-t-il recherché des anomalies depuis le 17/10/2026, comme de nouveaux fichiers PHP dans les dossiers d'envoi ou des tâches cron inconnues ?
- Les journaux du serveur sont-ils sauvegardés à partir du 20/10/2026 ?
- Y a-t-il une personne qui peut décider d'une mise hors ligne temporaire et qui est joignable ?
Sept oui signifient : vous êtes bien placé. Un ou deux non peuvent souvent être rattrapés en interne. À partir de trois non, surtout aux questions 2 et 5, un soutien externe est une réflexion sérieuse.
Quand vous n'avez expressément pas besoin de prestataire
Il y a des situations où nous déconseillerions nous-mêmes de dépenser de l'argent pour une aide externe. Un simple site d'entreprise chez un grand hébergeur qui a confirmé le correctif, sans formulaire avec des données sensibles et sans anomalie, en fait partie. De même un serveur propre sous PHP 8.3 ou 8.4 dont l'admin a installé le rétroportage de la distribution, redémarré tous les processus et jeté un bref coup d'œil aux journaux.
Dans ces cas, le plus important est une brève note écrite : qu'a-t-on vérifié, quand, avec quel résultat ? Elle aide en cas de questions et lors de la prochaine situation.
Pour être honnête, il faut aussi ne pas sous-estimer ses propres limites. Installer une mise à jour est une routine pour beaucoup d'admins. Évaluer correctement un fichier suspect sans effacer de traces ne l'est le plus souvent pas. Celui qui trouve quelque chose d'inhabituel en corrigeant devrait s'arrêter là, ne rien supprimer et décider à nouveau s'il continue seul.
Même si vous faites tout vous-même : décidez dès aujourd'hui qui vous appelleriez si quelque chose attire quand même l'attention. En situation de crise, chercher un prestataire est du temps perdu.
La voie intermédiaire : répartir plutôt que céder
Entre « tout soi-même » et « tout confier » se trouve la variante qui fonctionne le mieux dans de nombreuses entreprises. L'équipe interne prend ce qu'elle connaît : mises à jour, redémarrages, contact avec l'hébergeur. Un prestataire prend ce qui demande un savoir spécialisé ou un regard indépendant, par exemple le contrôle des traces, l'évaluation d'un soupçon ou le rapport pour l'assureur.
Pour que cela réussisse, accès, responsabilités et protection des données doivent être réglés. Si un prestataire accède à des serveurs contenant des données personnelles, un contrat de sous-traitance est en règle générale nécessaire ; des indications figurent dans Sous-traitance de données lorsque des prestataires accèdent aux serveurs. La manière de trouver un prestataire adapté est décrite dans Choisir un prestataire de sécurité informatique.
Comment PHP SOS aide-t-il concrètement ?
- Nous commençons par un bref état des lieux et disons ouvertement si vous n'avez pas besoin de nous.
- Nous prenons en charge de façon ciblée les parties qui manquent en interne, comme le contrôle des traces, les anciens systèmes ou la preuve, et laissons le reste à votre équipe.
- Nous travaillons à distance avec les accès que vous autorisez et documentons chaque étape.
- En cas de besoin aigu, nous prenons entièrement en charge, avec l'aide immédiate PHP2Shell, l'état des lieux, le correctif, le redémarrage et la recherche de traces.
Conclusion
La bonne réponse à « soi-même ou prestataire ? » est rarement noire ou blanche. Celui qui connaît ses systèmes, exploite des versions de PHP prises en charge et peut prouver qu'il a corrigé et redémarré s'en sort souvent seul avec PHP2Shell. Celui qui a des anciens systèmes, des états incertains ou des signes d'intrusion ne devrait pas hésiter à chercher de l'aide.
Questions fréquentes
Quand dois-je mandater un prestataire de sécurité informatique ?
Surtout s'il y a des signes d'intrusion, si d'anciennes versions de PHP tournent sans mise à jour officielle, si personne en interne n'a de droits serveur ni d'expérience, ou si des données personnelles et des questions d'assurance sont en jeu.
Mon hébergeur ne peut-il pas simplement s'en charger ?
Avec l'hébergement mutualisé et de nombreuses offres managées, l'hébergeur corrige PHP lui-même. Faites-vous confirmer par écrit l'état des correctifs et le redémarrage. Pour votre application, vos extensions et un contrôle des traces, l'hébergeur n'est le plus souvent pas compétent.
Que dois-je préparer avant d'appeler un prestataire ?
Une liste des sites et serveurs concernés, les voies d'accès, des interlocuteurs avec pouvoir de décision et une brève description de ce que vous avez remarqué. D'ici là, ne supprimez ni ne modifiez rien qui puisse contenir des traces.
Existe-t-il une voie intermédiaire entre tout faire soi-même et tout confier ?
Oui. Souvent, l'équipe interne assure la routine, comme les mises à jour et les redémarrages, tandis qu'un prestataire prend en charge le contrôle des traces, l'évaluation ou la documentation. Une répartition claire de qui fait quoi est importante.