Mardi (21 octobre 2026), le projet PHP a publié des correctifs d’urgence pour deux failles critiques surnommées PHP2Shell. Si votre site web fonctionne sous WordPress, il fonctionne sous PHP.

Savoir que ça existe, décider si ça vous touche et agir avant un attaquant, c’est la veille des menaces. ISO 27001 l’exige depuis 2022. Pour une PME, ça doit tenir dans un canal de discussion, pas dans un comité.

Trois alertes en six semaines

PHP2Shell

Les deux failles (CVE-2026-109618 et CVE-2026-109619) permettent à un attaquant d’exécuter du code sur un serveur web sans même avoir de compte. Toutes les installations de PHP qui servent des pages web sont touchées. Le Centre canadien pour la cybersécurité a publié son alerte le jour même.

Les correctifs du 21 octobre couvrent les branches 8.2 à 8.5. Le projet PHP ne publie plus de correctif pour les versions antérieures.

Amazon a observé une tentative d’exploitation dès le 17 octobre, quatre jours avant l’annonce publique. Le Centre canadien n’avait pas encore vu d’exploitation active au moment de son alerte. Pourtant, des preuves de concept circulent déjà.

PHP se cache aussi là où on ne le cherche pas. Le 22 octobre, Palo Alto Networks indiquait que les versions soutenues de PAN-OS, le système de ses coupe-feu, sont touchées, sans correctif disponible à ce moment.

Le 23 octobre, le Centre canadien a mis son alerte à jour. Une troisième faille, CVE-2026-115560, n’est pas corrigée par les mises à jour du 21 octobre. Elle ne concerne que les applications qui changent le gestionnaire de sérialisation en cours d’exécution. En attendant un correctif, la parade déjà recommandée pour CVE-2026-109619 suffit : désactiver le suivi de progression des téléversements (session.upload_progress.enabled=0).

Votre hébergeur ou votre fournisseur MSP a-t-il appliqué les correctifs? Le savez-vous ou le supposez-vous?

Les frigos des supermarchés français

Dans la nuit du 11 au 12 octobre 2026, les systèmes de réfrigération connectés de centaines de supermarchés ont été piratés en France. Intermarché parle de 150 à 200 magasins. Des magasins U ont aussi été touchés.

Selon le groupe Mousquetaires, la température a été portée à 50 °C pendant six heures. Les aliments ont été jetés et le parquet de Paris a ouvert une enquête. La méthode d’intrusion n’a pas encore été confirmée publiquement.

Dans la plupart des entreprises, le frigo n’est pas dans l’inventaire informatique. C’est le frigoriste qui l’a installé et branché.

Les automates industriels

Le 8 septembre 2026, le Centre canadien publiait un avis sur une campagne mondiale contre les automates programmables branchés à Internet. Ce sont les petits ordinateurs qui ouvrent une valve ou règlent une pression.

Les attaquants les trouvent avec des services qui balaient Internet, puis essaient les mots de passe par défaut ou absents. Une fois entrés, ils ont modifié des paramètres, désactivé des alarmes et bloqué les opérateurs. Le Centre précise que plusieurs de ces appareils sont exposés sans que l’entreprise qui les possède le sache. Au Canada, en octobre 2025, les commandes de pression d’un réseau d’eau municipal avaient été manipulées.

Le point commun? Des équipements installés par un tiers, branchés à Internet, que personne ne surveille.

C’est quoi, A.5.7?

Le contrôle 5.7 de l’annexe A s’appelle « Renseignement sur les menaces » (Threat intelligence). C’est un des onze contrôles ajoutés dans la version 2022 de la norme. Il demande de recueillir de l’information sur les menaces et de l’analyser pour pouvoir agir.

La norme ISO 27002 distingue trois niveaux. Le stratégique s’adresse à la gestion. Par exemple, le Centre canadien conclut que les rançongiciels sont la principale menace de cybercriminalité pour les infrastructures essentielles, et que les incidents qui lui sont connus augmentent en moyenne de 26 % par année depuis 2021. Le tactique décrit comment les attaquants s’y prennent, comme les mots de passe par défaut sur les automates. L’opérationnel, ce sont les adresses IP et les fichiers malveillants connus, qui vivent surtout dans l’antivirus, le coupe-feu et le filtre de courriel de votre fournisseur MSP.

C’est le début de la gestion des incidents. Un incident que vous n’avez pas vu venir, vous le gérez dans l’urgence. Une menace annoncée, vous avez le temps de fermer la porte avant.

Le processus doit être fluide

Personne dans une PME n’a une heure par trimestre pour se demander ce qui est sorti. La veille doit suivre le rythme des alertes, pas celui des réunions.

  1. Les alertes arrivent toutes au même endroit.
  2. Quelqu’un répond si ça vous concerne ou non. Si ça ne vous concerne pas, l’alerte reste là. C’est votre historique.
  3. Si ça vous concerne, vous évaluez si vous êtes touchés. Quelle version, quel équipement, quel fournisseur?
  4. Si vous êtes touchés, vous faites un plan d’action. Qui corrige, quoi et pour quand. Le suivi va là où vous suivez déjà vos tâches, comme le système de billets de votre fournisseur MSP.

Pas de comité ni de rencontre de plus.

Le canal est le registre

Un canal Teams ou Slack fait très bien l’affaire comme registre. Un auditeur veut voir que le contrôle fonctionne, pas un tableur de plus. Trois conditions par contre.

  • Chaque alerte reçoit une réponse visible, même courte, comme « ne nous concerne pas » ou « touchés, billet ouvert ».
  • Les messages ne sont pas supprimés automatiquement. Vérifiez la politique de conservation de votre canal.
  • Une autre personne que vous peut le consulter.

Astuce : un canal Teams a sa propre adresse courriel et Slack peut recevoir des flux RSS. Abonnez le canal directement à vos sources et les alertes arrivent toutes seules.

Pas de Teams ni de Slack? Une boîte courriel partagée ou une liste de distribution, comme veille@votreentreprise.com, fait exactement la même chose. Vous répondez au fil et la décision est notée avec la date.

Chez Certi360, nous utilisons Signal pour communiquer entre nous. C’est pratique pour avertir vite. Malheureusement, ça ne fait pas le travail d’un registre. Les messages peuvent être éphémères, l’historique vit dans les téléphones, une nouvelle personne ne voit pas les anciens messages et c’est difficile à montrer à un auditeur. Si vous êtes dans la même situation, utilisez Signal pour avertir et gardez la trace ailleurs.

Concrètement, ce qu’on doit faire

  • Nommez une personne qui répond aux alertes, avec une remplaçante pour les vacances. Pas besoin d’un CISO.
  • Choisissez vos sources et abonnez-y votre canal. Par exemple :
    • le Centre canadien pour la cybersécurité (cyber.gc.ca);
    • le CERT-FR (cert.ssi.gouv.fr), en français;
    • le catalogue des vulnérabilités exploitées (KEV) de la CISA américaine;
    • les avis de sécurité de vos fournisseurs, comme Microsoft, votre coupe-feu, votre hébergeur web ou votre logiciel de gestion;
    • les médias spécialisés comme BleepingComputer ou IT-Connect;
    • votre fournisseur MSP et votre association sectorielle.
  • Faites l’inventaire de ce qui est branché à Internet, incluant ce que des tiers ont installé, comme les frigos, les automates, les caméras ou le chauffage. Sans inventaire, impossible de répondre à « sommes-nous touchés? ».
  • Demandez à votre fournisseur MSP et à votre hébergeur ce qu’ils font comme veille pour vous et comment ils vous avertissent. Par écrit.
  • À la revue de direction que vous faites déjà, regardez dans le canal les alertes qui ont mené à une action.

Lors d’un audit, je demande à voir le canal et un exemple d’alerte qui a mené à une action. Un canal plein d’alertes sans aucune réponse ne passe pas. Ça veut dire que personne ne décide.

Bref, la veille des menaces ne demande pas une heure par trimestre. Elle demande qu’une alerte reçue reçoive une réponse.

Votre hébergeur a-t-il appliqué le correctif PHP2Shell? Si vous ne le savez pas, vous avez votre première alerte à traiter.

Vous voulez savoir où vous en êtes là-dessus? Parlons-en.

Références