Mise à jour de sécurité PHP : aucune action requise pour les utilisateurs de Qikify

Toutes les applications Qikify ont été corrigées et fonctionnent en production avec des versions de PHP corrigées. Aucune action n'est requise de votre part.

Certains marchands nous ont également interrogés sur des vulnérabilités de sécurité divulguées dans d'autres technologies. Nous confirmons que les applications Qikify NE reposent PAS sur les technologies listées ci-dessous, et que ces vulnérabilités n'affectent donc pas nos applications.

• Next.js (CVE-2026-96889 / GHSA-673q-mjm6-r5xr)
• Node.js (CVE-2026-111497)
• Apache Tomcat (CVE-2026-101296 / CVE-2026-101356 / CVE-2026-103119)
• MySQL (vulnérabilités critiques/élevées liées au Critical Patch Update d'Oracle d'octobre 2026)

Shopify gère l'hébergement et la maintenance de sa plateforme principale, qui n'est pas construite sur PHP.

Les applications tierces peuvent utiliser d'autres technologies et fonctionner sur une infrastructure distincte : leur sécurité dépend donc en partie de la façon dont leurs développeurs maintiennent leurs serveurs.

Si vous utilisez des applications Qikify, nous avons effectué les mises à jour de sécurité nécessaires sur l'ensemble de notre infrastructure. Toutes les applications Qikify fonctionnent désormais en production avec des versions de PHP corrigées, et vous n'avez aucune modification à apporter à votre boutique.

Les applications Qikify reposent sur PHP : nous avons donc traité cette divulgation en priorité et pris des mesures immédiates pour réduire les risques et déployer les correctifs définitifs.

1. Une protection supplémentaire était en place avant la divulgation publique.

Toutes les applications Qikify fonctionnent derrière Cloudflare. Cloudflare a déployé des protections de pare-feu applicatif web (WAF) contre php2shell le 21 octobre à 03:02 UTC, environ neuf heures avant la divulgation publique des vulnérabilités.

Ces protections ont apporté une couche de défense supplémentaire pendant que nous préparions et déployions les mises à jour de sécurité de PHP.

Pour en savoir plus sur la réponse de Cloudflare, consultez son explication technique de la protection contre php2shell.

2. Toutes les applications Qikify ont été corrigées.

Nous avons mis à jour l'environnement d'exécution PHP de chaque application Qikify vers une version officiellement corrigée. Toutes les mises à jour ont été déployées en production ; les heures de fin de déploiement sont indiquées ci-dessous.

3. Nous avons examiné nos données de surveillance de sécurité.

Nous avons examiné les journaux d'erreurs et de requêtes Sentry disponibles à la recherche d'indicateurs d'exploitation. Aucun indicateur d'exploitation n'a été trouvé dans les journaux examinés, et nos applications sont restées stables pendant toute la durée de la remédiation.

Au 22 octobre 2026 à 10:07 UTC+7, toutes les applications Qikify avaient été corrigées et fonctionnaient en production avec des versions de PHP corrigées.

L'équipe PHP a publié des versions corrigées pour les branches maintenues concernées le 21 octobre 2026 :

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Ces versions corrigent les vulnérabilités CVE-2026-109618 et CVE-2026-109619. Un serveur qui exécute la version corrigée appropriée, ou une version plus récente de la même branche intégrant les correctifs, est protégé contre ces vulnérabilités.

Pour plus de détails, consultez les annonces de sécurité de PHP et l'avis de sécurité CERT-EU 2026-018.

Avant le déploiement des mises à jour définitives de PHP, nous avons mis en place des mesures de protection supplémentaires :

• Cloudflare WAF : Toutes les applications Qikify fonctionnent derrière Cloudflare, dont les protections WAF ont apporté une couche de défense supplémentaire contre les tentatives d'exploitation de ces vulnérabilités.
• Durcissement temporaire de PHP : Par précaution provisoire, nous avons désactivé le suivi de la progression des téléversements de session PHP (session upload progress), une fonctionnalité que nos applications n'utilisent pas. Les sessions et les téléversements de fichiers ont continué à fonctionner normalement. Cette mesure temporaire a été retirée des applications concernées dès la mise en production de leurs versions de PHP corrigées.
• Surveillance de sécurité : Nous avons examiné les journaux d'erreurs et de requêtes Sentry disponibles à la recherche d'indicateurs d'exploitation. Aucun indicateur n'a été trouvé dans les journaux examinés.

Ces mesures ont contribué à réduire les risques pendant la remédiation. Le Cloudflare WAF et le durcissement temporaire ont apporté une protection supplémentaire ; le correctif définitif consistait à mettre à jour l'environnement d'exécution PHP de toutes les applications Qikify.

Vous n'avez pas besoin de :

• mettre à jour ou réinstaller vos applications Qikify ;
• modifier vos paramètres Shopify ;
• modifier votre thème ou la configuration de votre page de paiement ;
• contacter notre équipe d'assistance spécifiquement pour demander ce correctif.

Toute la remédiation a été effectuée sur nos serveurs. Vos applications Qikify devraient continuer à fonctionner normalement.

Pour plus d'informations techniques, consultez :

• Annonces de sécurité officielles de PHP
• Avis de sécurité CERT-EU 2026-018
• Présentation par Cloudflare de sa protection contre php2shell

Pour toute question sur les applications Qikify, notre équipe d'assistance se fera un plaisir de vous aider. Vous pouvez nous contacter directement depuis l'application ou par e-mail : support@qikify.com

L'approche de Qikify en matière de sécurité

La sécurité d'une application Shopify dépend de la façon dont son développeur maintient et gère ses serveurs. Il importe aussi que le développeur dispose de la structure de maintenance et de gestion nécessaire pour réagir rapidement en cas de panne ou de problème, notamment la capacité à recueillir des informations, les compétences techniques, les personnes et la rémunération.

Alors que les menaces de piratage et d'attaques alimentées par l'IA deviennent une réalité, assurer la sécurité des systèmes devient plus difficile et la réponse plus complexe. Dans ce contexte, nous nous engageons auprès de nos clients à toujours rester attentifs aux informations de sécurité, à réagir rapidement et avec soin, et à maintenir notre environnement aussi sécurisé que possible.

Pour l'ensemble des applications Qikify, nos équipes de développement, produit et assistance travaillent ensemble, chacune avec son propre point de vue, pour garantir la qualité et la sécurité. Nous ne ménagerons aucun effort pour continuer à mériter votre confiance.

Nous continuerons à surveiller nos systèmes et à appliquer les mises à jour de sécurité nécessaires. Merci.

— L'équipe Qikify