Le 21 octobre 2026, une faille de sécurité majeure a été découverte dans PHP. Si ce nom ne vous dit rien, c'est normal : PHP, c'est la technologie qui fait rouler une grande partie des sites web, un peu comme le moteur d'une voiture. On ne le voit pas, mais tout en dépend.
La faille, surnommée « PHP2Shell », permet à quelqu'un de prendre le contrôle d'un site à distance, sans mot de passe. Et elle est déjà exploitée. Bref : ça vaut la peine de prendre cinq minutes pour vérifier vos outils.
HubSpot ne roule pas sur PHP. Votre CRM, vos courriels, vos formulaires, vos workflows, vos pages et votre blogue HubSpot sont en sécurité. Vous n'avez rien à faire de ce côté-là.
La question à vous poser : est-ce que j'ai un site ou un outil web qui n'est pas sur HubSpot? Par exemple :
Un truc simple pour savoir si votre site est sur WordPress : ajoutez /wp-admin à la fin de son adresse (par exemple, votresite.com/wp-admin). Si une page de connexion WordPress apparaît, vous avez votre réponse.
Et si vous ne savez pas qui héberge votre site, cherchez dans vos factures : GoDaddy, Bluehost, OVH, Hostinger, une agence web… C'est cette personne ou cette entreprise qui pourra régler la situation.
Voici les outils qui roulent sur PHP qu'on croise le plus souvent. La liste n'est pas complète : dans le doute, posez la question à votre fournisseur.
Sites web : WordPress, Drupal, Joomla, Craft CMS, TYPO3, Concrete CMS, Statamic, Kirby, ProcessWire, MODX, Silverstripe, Tiki Wiki, entre autres.
Boutiques en ligne : WooCommerce, Magento (Adobe Commerce), PrestaShop, OpenCart, Shopware.
Extensions WordPress : Gravity Forms, le plugin HubSpot pour WordPress, et toutes les autres. Elles sont touchées parce que le site qui les héberge l'est.
Formation : Moodle, Chamilo, Claroline.
CRM et gestion : SugarCRM et SuiteCRM (lorsqu'ils sont installés chez vous), CiviCRM, Vtiger, Dolibarr, Akeneo, Pimcore.
Courriels et sondages : Mautic, phpList, Sendy, LimeSurvey.
Statistiques web : Matomo (anciennement Piwik), lorsqu'il est installé chez vous plutôt que dans sa version en ligne.
Outils d'hébergement : cPanel, Plesk, phpMyAdmin et les webmails comme Roundcube. Ceux-là, c'est surtout votre hébergeur qui s'en occupe.
Développement sur mesure : un site ou un connecteur bâti par un développeur avec Laravel ou Symfony, par exemple un script qui envoie les données de votre site vers un autre système.
Petit bémol : un outil non touché peut quand même être relié à un outil qui l'est. Par exemple, une boutique WooCommerce connectée à votre CRM. C'est la boutique qu'il faut vérifier.
Mettre WordPress à jour ne suffit pas. Pour reprendre l'image de la voiture : mettre WordPress à jour, c'est changer la peinture. Ici, c'est le moteur qui doit être réparé, et ça se fait sur le serveur, par votre hébergeur ou la personne qui gère votre site.
Le plus simple : leur envoyer ce message, tel quel.
Bonjour,
Pouvez-vous me confirmer que la version de PHP de notre site est corrigée contre la faille « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619)? Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Merci!
S'ils vous répondent que votre site roule sur une version plus vieille que PHP 8.2, prévoyez une mise à jour. Ces versions-là ne sont plus entretenues, et certaines ne recevront pas de correctif.
Et si un de vos outils touchés est relié à HubSpot, on pourra changer la clé de connexion une fois la correction faite. Par précaution, simplement.
Vous ne savez pas sur quoi roulent vos outils? Pas de souci, c'est notre job. Écrivez-nous à domenique@guepard.ca et on regardera ça avec vous.