Protéger mon site, sans être technicien

2Envoyez ce message à votre prestataire

C'est à lui d'intervenir. Copiez ce message, complétez les crochets et envoyez-le par e-mail. Demandez une réponse écrite.

Bonjour,

Deux failles de sécurité critiques ont été corrigées dans PHP le 21 octobre 2026 (« PHP2Shell », CVE-2026-109618 et CVE-2026-109619, gravité 9,2/10). Elles permettent de prendre le contrôle d'un serveur à distance.

Pouvez-vous me confirmer par écrit, pour mon site [adresse du site] :
1. la version de PHP utilisée actuellement ;
2. qu'elle a été mise à jour vers une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récente, ou un paquet de distribution incluant le correctif) ;
3. si ce n'est pas encore fait, à quelle date l'intervention est prévue ;
4. qu'une sauvegarde complète a été faite avant l'intervention.

Merci d'avance,
[Votre nom]

Toujours pas de réponse au bout de 48 h, même après un coup de fil ? Alors choisissez « Je paie un hébergeur » ci-dessus (ou « J'ai mon propre serveur » si votre facture mentionne un VPS) et agissez directement.

2Faites une sauvegarde

La plupart des hébergeurs font déjà une sauvegarde automatique chaque jour. Pour en faire une vous-même juste avant d'agir :

• Avec WordPress : dans le tableau de bord, Extensions → Ajouter une extension, cherchez « UpdraftPlus », cliquez sur Installer puis Activer. Allez ensuite dans Réglages → UpdraftPlus Backups et cliquez sur Sauvegarder maintenant.
• Sinon : dans votre espace client, cherchez « Sauvegarde » ou « Backup ».
• Pas de menu Extensions dans WordPress ? Votre compte n'est pas administrateur. Demandez la sauvegarde à votre hébergeur avec le message plus bas.
• Vous n'y arrivez pas ? Demandez-la à votre hébergeur avec le message plus bas, il la fera pour vous.

3Trouvez votre version de PHP

PHP est le « moteur » qui fait fonctionner votre site. Il faut connaître son numéro complet, avec trois nombres (ex. 8.3.36).

Option A, si votre site est fait avec WordPress (le plus simple) : dans le tableau de bord, allez dans Outils → Santé du site, onglet Informations, puis ouvrez la rubrique Serveur. La ligne « Version de PHP » indique le numéro complet. Pas de menu Outils ? Votre compte n'est pas administrateur : passez à l'option B.

Option B : dans votre espace client, cherchez « Version PHP », « Sélecteur PHP » ou « Configuration PHP ». S'il n'affiche que deux nombres (ex. « 8.3 »), ce n'est pas suffisant : passez à l'option C.

Option C : demandez-la à votre hébergeur avec le message plus bas. Il vous répondra avec le numéro exact.

Vous n'avez rien à télécharger ni à installer sur votre site pour cela. Si quelqu'un vous propose un « fichier de test » ou un « outil de détection », refusez.

4Lisez le résultat

Regardez les deux premiers nombres (la « série », ex. 8.3), puis le troisième :

Bonjour,

Je cherche quelqu'un pour une intervention urgente sur mon site [WordPress / autre] : [adresse du site], hébergé chez [nom de l'hébergeur] sur l'offre [nom de l'offre].
La personne qui l'a créé n'est plus joignable.

Suite aux failles PHP « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619, 21 octobre 2026), mon site utilise PHP [version lue dans Santé du site], qui ne recevra pas de correctif.

Pouvez-vous me proposer, avec un devis et un délai :
1. une sauvegarde complète du site ;
2. la vérification de la compatibilité du site et de ses extensions, puis le passage à PHP 8.3 ou 8.4 ;
3. une vérification que le site n'a pas été piraté depuis le 17 octobre.

Je vous transmettrai les accès par téléphone, pas par e-mail.

Merci,
[Votre nom] – [téléphone]

Message à envoyer à votre hébergeur

Envoyez-le depuis la rubrique « Support », « Assistance » ou « Créer un ticket » de votre espace client.

Bonjour,

Suite aux failles PHP « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619) corrigées le 21 octobre 2026, pouvez-vous me confirmer :
1. la version exacte de PHP (avec les trois nombres) utilisée par mon site [adresse du site], hébergé sur l'offre [nom de l'offre, visible sur votre facture] ;
2. qu'elle intègre le correctif, ou sinon à quelle date elle sera mise à jour ;
3. qu'une sauvegarde récente de mon site existe ;
4. si une activité suspecte a été détectée sur mon hébergement depuis le 17 octobre.

Merci,
[Votre nom]

Besoin d'être guidé pas à pas ? Passez au générateur de prompt.

Deux précautions quand même :

• Si vous avez un autre site (un blog, un ancien site) hébergé ailleurs, refaites ce parcours pour lui.
• Méfiez-vous des e-mails qui vous demandent de « mettre à jour PHP » en cliquant sur un lien : c'est probablement une arnaque.

2Regardez d'abord la version de PHP, sans terminal

Si votre site est fait avec WordPress : Outils → Santé du site, onglet Informations, rubrique Serveur, ligne « Version de PHP ».

Bonjour,

Je cherche un prestataire pour une intervention urgente sur un serveur VPS [nom du fournisseur, ex. OVHcloud] qui héberge mon site [WordPress / autre] : [adresse du site].
La personne qui l'a installé n'est plus joignable.

Suite aux failles PHP « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619, 21 octobre 2026), mon site utilise PHP [version lue dans Santé du site], qui ne recevra pas de correctif.
Une sauvegarde (snapshot) a été faite le [date].

Pouvez-vous me proposer, avec un devis et un délai :
1. une protection provisoire immédiate ;
2. la remise à niveau du serveur ou une migration vers un serveur à jour, avec une version de PHP corrigée ;
3. une vérification que le serveur n'a pas été piraté depuis le 17 octobre.

Je vous transmettrai les accès par téléphone, pas par e-mail.

Merci,
[Votre nom] – [téléphone]

Pour trouver un prestataire : l'annuaire de cybermalveillance.gouv.fr, une agence web locale, ou un indépendant « administrateur Linux / WordPress ». Dans une association ou une entreprise, ce choix et son coût doivent souvent être validés (bureau, gérance).

3Faites une sauvegarde

Dans l'espace client de votre fournisseur, ouvrez votre VPS et cherchez « Snapshot » (une « photo » complète du serveur), « Instantané » ou « Backup ».

• L'option est parfois payante (quelques euros par mois, bouton « Commander ») : c'est une dépense utile, mais elle doit peut-être être validée.
• Pas de mot de passe pour l'espace client ? Utilisez « Mot de passe oublié » avec l'adresse e-mail qui reçoit les factures.
• Vérifiez que le snapshot affiche la date et l'heure d'aujourd'hui. En cas de problème, le bouton « Restaurer » remet le serveur dans cet état (les commandes ou réservations reçues entre-temps seraient perdues).

4Faites-vous guider par une IA, commande par commande

Nous ne fournissons aucun script. Ne lancez jamais sur votre serveur un programme que vous ne comprenez pas, d'où qu'il vienne.

À la place, le générateur de prompt ci-dessous prépare un message qui demande à l'IA de vous faire taper de courtes commandes standard, une à la fois, qui ne font que lire des informations (par exemple php -v, qui affiche la version de PHP). Avant chaque commande, l'IA doit vous expliquer ce qu'elle fait. Vous lui collez le résultat, et elle vous dit quoi faire ensuite.

Votre première connexion au serveur (SSH)

L'« accès SSH » est souvent dans un vieil e-mail qui contient une adresse IP (des chiffres comme 51.75.12.34), un nom d'utilisateur (ex. debian) et un mot de passe.

• Dans le terminal, vous tapez la vraie adresse et le vrai mot de passe. C'est seulement dans ce que vous collez à l'IA qu'il faut masquer l'adresse (remplacez-la par MON-IP).
• Une question en anglais apparaît la première fois (Are you sure you want to continue connecting) : tapez yes.
• Quand vous tapez le mot de passe, rien ne s'affiche, pas même des étoiles : c'est normal.
• Ne tapez le mot de passe que si la ligne password: est affichée. Jamais à un autre moment, et jamais dans le chat de l'IA.
• Pour quitter le serveur : tapez exit.

À l'aise avec un terminal ? La page développeurs liste les commandes de diagnostic une par une, avec un tableau pour lire le résultat.

2Trouvons qui s'occupe de votre site

• Cherchez dans vos factures ou relevés bancaires un paiement mensuel ou annuel à OVHcloud, o2switch, Hostinger, IONOS, Wix, Shopify… ou à une agence web.
• Cherchez dans vos e-mails « hébergement », « nom de domaine » ou « renouvellement ».
• Demandez à la personne qui a créé le site.

Vous savez que c'est OVHcloud, mais pas quelle offre ? Connectez-vous à votre espace client. Si votre site apparaît dans Web Cloud → Hébergements, choisissez « Je paie un hébergeur ». S'il apparaît dans Bare Metal Cloud (« Serveurs privés virtuels » ou « Serveurs dédiés »), choisissez « J'ai mon propre serveur ».

Une fois trouvé, revenez à la question 1. En attendant, le générateur de prompt peut aussi vous aider à chercher.