Si les gros titres sur une « faille PHP » vous ont inquiété cette semaine, vous n'êtes pas seul. Depuis l'annonce du 21 octobre, de nombreux marchands et partenaires nous ont écrit avec les deux mêmes questions : ma boutique est-elle en danger, et dois-je faire quelque chose ?
Gérer une boutique vous tire déjà dans cent directions à la fois, et une bonne partie de ce qui circule sur le sujet n'aide pas. Beaucoup de publications et de partages dramatisent la situation, avec des titres alarmants et peu d'explications sur la nature de la faille. Alors, avant toute chose : inutile de paniquer. Cet article explique simplement ce qui s'est passé, ce que cela signifie pour les boutiques Shopify et ce que vous pouvez faire dès aujourd'hui.
Ce qui s'est passé, en termes simples
Le 21 octobre 2026, l'équipe PHP a publié des correctifs d'urgence pour deux failles de sécurité critiques dans PHP lui-même. Les chercheurs les ont surnommées « PHP2Shell » (officiellement CVE-2026-109618 et CVE-2026-109619), et toutes deux sont notées 9.2 sur 10 en gravité. (Cyber Kendra)
PHP est le langage de programmation qui fait tourner une immense partie du web, dont WordPress, WooCommerce, Magento et de nombreux sites sur mesure. Environ 70 % des sites dont le langage serveur est connu l'utilisent. Une faille dans PHP lui-même, présente dans toutes les versions depuis la 5.4, dépasse donc largement le cadre d'un seul site.
Imaginez PHP comme le moteur d'une voiture et le code d'un site comme son conducteur. La plupart des problèmes de sécurité dont vous entendez parler sont des erreurs de conduite, comme un plugin bogué ou un mot de passe trop faible. Cette fois, c'est le moteur qui est en cause : même un site au code parfaitement à jour reste exposé tant que le PHP sous-jacent n'a pas été mis à jour.
PHP2Shell est une faille du moteur (PHP lui-même), pas du code propre à un site
Que pourrait en faire un attaquant ? En envoyant une requête spécialement conçue, il pourrait obliger un serveur vulnérable à exécuter son propre code, le faire planter ou provoquer la fuite de fragments de mémoire pouvant contenir des mots de passe, des jetons ou des clés API. Aucune connexion n'est nécessaire. (BleepingComputer)
Pourquoi tout cela a-t-il semblé si soudain ? Des détails ont fuité en ligne le 20 octobre, un jour avant l'annonce prévue. Le correctif a donc été publié en avance et les équipes de sécurité du monde entier ont réagi rapidement. Cloudflare a indiqué avoir détecté des tentatives d'attaque des heures avant la divulgation officielle et a activé une protection pare-feu supplémentaire pour ses clients, y compris ceux des offres gratuites. (PPC Land) Un pare-feu ne fait toutefois que gagner du temps. Selon l'équipe PHP elle-même, la mise à jour est la seule option sûre. (Cyber Kendra)
Trois jours entre la fuite et le correctif : le déroulé de PHP2Shell
Alors, ma boutique Shopify est-elle concernée ?
En bref : votre boutique elle-même n'a rien à corriger. La plateforme de base de Shopify n'est pas construite sur PHP. Elle fonctionne sur Ruby on Rails, et Shopify exploite et maintient ses propres serveurs : il n'y a donc aucun PHP à mettre à jour de votre côté. (Narrows Web)
Mais votre activité repose sans doute sur plus que votre boutique en ligne. Voici où PHP peut apparaître autour d'elle :
| Élément de votre activité | Qui le gère | PHP peut-il être en jeu ? |
|---|---|---|
| Votre boutique Shopify et votre page de paiement | Shopify | Non. La base de Shopify n'est pas construite sur PHP |
| Les applications tierces que vous avez installées | Chaque développeur d'application, sur ses propres serveurs | Peut-être. De nombreuses applications tournent sur PHP en coulisses |
| Les applications personnalisées ou privées développées pour vous | Vous ou votre développeur | Peut-être, et celles-ci relèvent de votre responsabilité |
| Un site, un blog ou une landing page à part (par exemple sous WordPress) | Vous ou votre hébergeur | Très probable s'il s'agit de WordPress ou d'un outil similaire |
Les applications sont le sujet sur lequel les marchands nous interrogent le plus. Une application ne s'exécute pas dans votre boutique. Elle tourne sur les serveurs de son développeur et se connecte à votre boutique via Shopify : ce qui compte, c'est donc que chaque développeur sur lequel vous comptez ait corrigé ses serveurs.
C'est pourquoi les agences et les partenaires contactent les développeurs d'applications cette semaine, et vous pouvez faire de même.
Ce que nous avons fait chez Qikify
Les applications Qikify tournent bel et bien sur PHP sur nos serveurs, comme beaucoup d'applications de l'écosystème Shopify. Dès l'annonce de la nouvelle, notre équipe s'est mise au travail.
Nos applications sont protégées par Cloudflare : les règles de pare-feu déployées par Cloudflare contre ces attaques protégeaient donc nos serveurs avant même la mise en ligne du correctif. Par précaution supplémentaire, nous avons aussi désactivé une fonctionnalité PHP que nos applications n'utilisent pas (le suivi de progression de l'envoi de fichiers en session). Les sessions et les envois de fichiers ont continué de fonctionner normalement, et nous l'avons réactivée une fois le correctif en place.
Le 22 octobre à 10 h 07 (UTC+7), toutes les applications Qikify étaient corrigées et tournaient sur une version de PHP corrigée : 8.2.35 pour Checkout Customizer, Upsell & Cross-sell, Slide Cart Drawer et le reste de nos applications principales, et 8.3.36 pour Koin, Mysbox, Duos et Volume Discounts. Notre équipe QA a vérifié que tout fonctionne normalement, sans aucun changement de fonctionnalité, et nos journaux d'erreurs et de requêtes ne montrent aucun signe d'exploitation.
Toutes les applications Qikify ont été corrigées le 22 octobre, sans aucune action requise de la part des marchands
Si nous avons pu agir aussi vite, c'est en partie parce que nous étions déjà passés par là. En juillet, nous avons géré notre propre incident de sécurité, et ce que nous en avons appris a guidé notre réaction cette semaine.
Vous n'avez rien à faire pour vos applications Qikify. Rien à mettre à jour, à réinstaller ou à reconfigurer de votre côté. Pour tous les détails techniques, consultez notre avis de sécurité officiel.
Ce que vous pouvez faire cette semaine
Pas besoin d'être expert en sécurité pour tout cela. La plupart de ces étapes prennent moins de 15 minutes, et c'est une bonne occasion de mettre de l'ordre dans votre boutique.
8 vérifications rapides pour renforcer la sécurité de votre boutique cette semaine
- ☐ Ne vous précipitez pas pour désinstaller des applications. Certaines publications conseillent aux marchands de tout supprimer, mais désinstaller dans l'urgence peut casser des fonctionnalités dont votre boutique dépend, sans apporter la moindre protection si le développeur de l'application a déjà appliqué le correctif. Allez plutôt dans Paramètres > Applications dans l'interface d'administration Shopify et supprimez uniquement les applications, outils d'IA ou automatisations que vous n'utilisez plus.
- ☐ Pour les applications que vous conservez, envoyez un court message au développeur : « Votre application utilise-t-elle PHP, et avez-vous appliqué le correctif PHP2Shell ? » Un bon développeur sera ravi que vous posiez la question et devrait vous donner une réponse claire.
- ☐ Si vous gérez quoi que ce soit en dehors de Shopify, comme un blog WordPress, une landing page ou une application personnalisée créée par un freelance, demandez dès maintenant à votre hébergeur ou à votre développeur de mettre PHP à jour. Un pare-feu aide en attendant, mais la vraie solution reste la mise à jour. (BleepingComputer)
- ☐ Ces failles peuvent faire fuiter la mémoire du serveur, qui peut contenir des mots de passe et des clés API. (Cyber Kendra) Si l'une de vos applications personnalisées tournait sur un PHP qui n'a pas été mis à jour à temps, demandez à votre développeur de renouveler ses jetons d'accès. C'est aussi le bon moment pour renouveler toute clé collée dans du code ou partagée avec un ancien collaborateur ou un outil d'IA.
- ☐ Passez en revue vos comptes employés et les accès collaborateurs, retirez tous ceux qui n'en ont plus besoin et activez la validation en deux étapes.
- ☐ Méfiez-vous des e-mails de « sécurité urgente » cette semaine : les escrocs adorent surfer sur les grandes actualités de sécurité. Si un e-mail vous demande de vous connecter ou d'installer quelque chose pour « corriger PHP », rendez-vous directement sur Shopify au lieu de cliquer sur le lien.
- ☐ Surveillez votre boutique pendant quelques jours. Si vous constatez des modifications de thème que vous n'avez pas faites, des applications que vous ne reconnaissez pas ou un comportement étrange du paiement, contactez immédiatement l'équipe d'assistance de l'application concernée.
- ☐ Ouvrez votre page de paiement dans une fenêtre de navigation privée et vérifiez que vous arrivez bien sur la vraie page de paiement Shopify.
Vous n'êtes pas seul face à cela
L'année a été chargée en matière de sécurité en ligne, et une faille dans un élément aussi fondamental que PHP a de quoi inquiéter. La riposte a pourtant été rapide : moins d'un jour après la fuite, l'équipe PHP, les hébergeurs et les entreprises de sécurité avaient déjà publié correctifs et protections.
Si vous avez des questions sur votre boutique, vos applications ou quoi que ce soit dans cet article, notre équipe d'assistance se fera un plaisir de vous aider.
Pour notre mise à jour officielle sur les applications Qikify, lisez l'avis de sécurité ici.
