Failles PHP : les boutiques en ligne impactées ?

Le nom ne dit rien à la plupart des internautes. Pourtant, PHP fait tourner une immense partie des sites visités chaque jour, des blogs aux boutiques en ligne. Mardi 20 octobre 2026, ses développeurs ont lancé une alerte rare : deux failles critiques, révélées avant même que le correctif soit prêt.

Selon l'équipe de sécurité de PHP, les deux failles sont notées 9,2 sur 10 sur l'échelle de gravité CVSS, le niveau le plus élevé. Pour les clients des sites marchands, la question est simple : leurs coordonnées bancaires risquent-elles quelque chose ? La réponse dépend surtout de la façon dont ils paient.

Ce que risque une boutique piratée

Ces failles permettent à un pirate de faire exécuter ses propres commandes par le serveur d'un site, sans y être invité. Autrement dit, il prend les clés de la maison. Ces attaques visent rarement une boutique précise : des robots balaient le web en permanence, à la recherche de serveurs pas encore mis à jour. Une fois à l'intérieur, deux cibles intéressent particulièrement les fraudeurs.

Les données des clients à portée de main

Le pirate peut d'abord lire la base de données de la boutique : noms, adresses, numéros de téléphone, historique d'achats. Rien de tout cela ne permet de payer à la place du client. En revanche, ces informations rendent les arnaques beaucoup plus crédibles. Certains pirates revendent aussi ces fichiers à d'autres escrocs, qui s'en servent pendant des mois.

Un faux e-mail qui cite la dernière commande, avec le bon prénom et la bonne adresse, inspire tout de suite confiance. C'est souvent par ce biais que les fraudeurs obtiennent ensuite un mot de passe ou un code de validation.

Une page de paiement qui copie les cartes

Le second danger est plus direct. Le pirate peut modifier discrètement la page de paiement, en y glissant un petit script qui copie chaque numéro de carte tapé par le client et l'envoie ailleurs.

La commande se passe normalement. Le colis arrive. Rien ne paraît anormal à l'écran, et la fraude n'apparaît que plus tard, sur le relevé de compte. Ce piège ne fonctionne toutefois que si le numéro est saisi sur le site lui-même, ce qui change tout pour l'acheteur attentif.

Comment protéger sa carte bancaire ?

Le client n'a aucun moyen de corriger le serveur d'une boutique. Cette mise à jour relève de l'hébergeur et du marchand, et rien n'est à installer sur un ordinateur ou un téléphone. Quelques habitudes simples réduisent pourtant beaucoup les risques, cette semaine comme le reste de l'année.

Regarder où l'on saisit sa carte

Beaucoup de sites marchands renvoient le client vers une page de paiement gérée par la banque ou par un prestataire spécialisé. Dans ce cas, le numéro n'est jamais tapé sur le serveur de la boutique, ce qui réduit fortement le risque lié à un site piraté. L'adresse affichée dans le navigateur change au moment de payer : c'est un bon indice.

Depuis l'entrée en vigueur de la directive européenne DSP2, la plupart des paiements en ligne demandent aussi une validation dans l'application bancaire. Ce message affiche le montant et le nom du marchand. Il suffit de le lire avant d'accepter. Un paiement qu'on n'a pas lancé soi-même ne se valide jamais, même sous la pression d'un appel ou d'un SMS.

Limiter les dégâts en cas de vol

De nombreuses banques proposent une carte virtuelle, avec un code à usage unique ou un plafond choisi. Des coordonnées volées deviennent alors inutilisables. Abaisser la limite de paiement en ligne de sa carte habituelle réduit aussi la perte possible si ces données fuitent.

Reste à jeter un œil régulier aux opérations. Une petite somme inconnue sert souvent de test avant un débit plus gros. Au moindre doute, la mise en opposition se fait en quelques minutes depuis l'application ou par téléphone. Enfin, l'actualité fera sans doute naître des e-mails trompeurs, prétendant qu'une boutique a été piratée et qu'il faut confirmer ses coordonnées. Aucun marchand sérieux ne demande un numéro de carte par e-mail.

Pourquoi autant de sites sont concernés ?

Un défaut dans une boutique isolée reste un incident local. Ici, le problème se loge dans le moteur commun à des millions de sites. C'est toute la différence entre une serrure mal posée sur une porte et un défaut de fabrication présent sur tous les verrous d'une même marque. Le risque se mesure donc à l'échelle du web entier.

Le moteur caché de 7 sites sur 10

Selon le cabinet W3Techs, PHP fait tourner 70,8 % des adresses web dont la technologie serveur est connue. Il sert de base à WordPress, qui anime à lui seul plus de 4 sites sur 10 dans le monde. On le retrouve aussi derrière PrestaShop, très répandu chez les commerçants français, et dans une foule de créations sur mesure.

Pour le visiteur, rien ne permet de le savoir. PHP travaille côté serveur, avant même l'affichage de la page. Il prépare le catalogue, calcule le panier, enregistre les commandes. C'est précisément ce rôle central qui rend une faille aussi sensible.

Un correctif attendu ce mercredi

D'habitude, ce genre de brèche reste secret jusqu'à la sortie du correctif. Cette fois, des informations ont fuité dès le 19 octobre, et une entreprise de cybersécurité a confirmé le lendemain que le danger était bien réel. Les développeurs de PHP ont alors avancé leur mise à jour, attendue ce mercredi 21 octobre à 16 h. Elle répare le moteur lui-même : aucune boutique ne peut se protéger en retouchant seulement son propre code.

En France, de nombreux hébergeurs gèrent eux-mêmes la version de PHP pour leurs clients. Dans ce cas, la correction arrivera sans intervention du propriétaire, dès que l'hébergeur la déploiera. Les plus vieux sites posent un vrai problème : seules les versions récentes de PHP reçoivent le correctif. Or, d'après W3Techs, environ 8 % des adresses web en PHP tournent encore sur la version 5, abandonnée depuis des années. Ces sites-là resteront exposés tant que leur propriétaire ne les fait pas moderniser.