Une faille informatique majeure touche Internet. Plusieurs organisations québécoises ont préféré interrompre temporairement leurs services plutôt que de prendre des risques. Mais qu’en est-il des milliers d’entreprises dont les sites Web continuent de fonctionner?
Montréal, le 23 octobre 2026
Votre site Web fonctionne normalement. Vos clients peuvent le consulter, remplir des formulaires et effectuer leurs achats.
Tout semble sous contrôle.
Pourtant, depuis quelques jours, une question devrait préoccuper les propriétaires d’entreprises du Québec : leur site Web est-il réellement protégé contre PHP2Shell?
Cette vulnérabilité informatique critique, dévoilée officiellement le 21 octobre 2026, touche PHP, une technologie utilisée par une très grande quantité de sites Web et d’applications d’entreprise.
Le problème est suffisamment sérieux pour avoir provoqué des mesures d’urgence partout dans le monde, y compris ici, au Québec.
La SAQ, la STM, la SAAQ et la Ville de Montréal ont réagi
Le mercredi 21 octobre, plusieurs organisations québécoises ont pris des mesures exceptionnelles.
La Société des alcools du Québec (SAQ), la Société de transport de Montréal (STM) et la Société de l’assurance automobile du Québec (SAAQ) ont temporairement interrompu l’accès à certains sites ou services en ligne.
La Ville de Montréal a également annoncé la fermeture préventive de plusieurs sites Web considérés comme potentiellement vulnérables.
De son côté, la Société des traversiers du Québec a suspendu certaines fonctionnalités informatiques afin de réduire les risques.
Ces interventions ne signifient pas que ces organisations ont été piratées.
Elles démontrent plutôt que des organisations importantes ont jugé nécessaire d’agir immédiatement devant la gravité des vulnérabilités.
Le rétablissement éventuel de services publics ne permet pas de conclure que tous les environnements informatiques du Québec ont été vérifiés.
PHP2Shell : pourquoi cette vulnérabilité est-elle aussi préoccupante?
PHP2Shell désigne deux failles critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619.
Toutes deux ont reçu une cote de gravité de 9,2 sur 10.
Dans certaines conditions, elles permettent à un attaquant d’exécuter du code à distance sur un serveur vulnérable, sans même avoir besoin d’un identifiant ou d’un mot de passe.
Pour une entreprise, les conséquences potentielles sont sérieuses : accès non autorisé à des renseignements, compromission d’applications, perturbation des opérations ou interruption du site Web.
Et contrairement à ce qu’on pourrait croire, le problème ne concerne pas uniquement les grandes organisations.
Une boutique en ligne à Laval, une entreprise manufacturière à Drummondville ou une PME de services à Longueuil peut elle aussi utiliser une infrastructure PHP nécessitant une vérification.
Ce n’est pas la taille de l’entreprise qui détermine son exposition, mais la technologie utilisée et les mesures de protection appliquées.
Des tentatives d’attaque avant même l’annonce officielle
Un élément particulièrement préoccupant a été révélé par Amazon Threat Intelligence.
Ses chercheurs ont détecté une tentative d’exploitation de PHP2Shell dès le 17 octobre 2026, soit quatre jours avant la publication officielle des correctifs.
De son côté, l’entreprise de cybersécurité Imperva a enregistré une activité considérable durant ses premières 24 heures d’observation :
482 342 requêtes associées aux attaques, visant 21 998 sites dans 103 pays.
Ces chiffres représentent des tentatives observées par Imperva, et non des piratages réussis.
Ils démontrent néanmoins la rapidité avec laquelle des outils automatisés peuvent commencer à rechercher des systèmes vulnérables.
Le danger que plusieurs entreprises pourraient sous-estimer
Lorsqu’un site Web devient inaccessible, le problème est évident.
Mais lorsqu’une vulnérabilité de sécurité existe sur un serveur, il peut n’y avoir absolument aucun signe visible pour les visiteurs.
Un site peut continuer de fonctionner normalement malgré une configuration vulnérable.
Autrement dit, l’absence de panne ne constitue pas une preuve de sécurité.
C’est précisément ce qui devrait inciter les entreprises québécoises à vérifier leur situation.
Pour certaines PME, une interruption de quelques heures pourrait signifier des commandes perdues, des rendez-vous manqués ou des employés incapables d’utiliser une application essentielle.
Et si une intrusion devait réellement survenir, les conséquences pourraient dépasser largement la simple indisponibilité d’un site Web.
Que devraient faire les entreprises dès maintenant?
Le projet PHP a publié des correctifs le 21 octobre pour les versions prises en charge.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les installations plus anciennes nécessitent une attention particulière, notamment auprès de leur fournisseur d’hébergement.
Le 23 octobre, PHP a également publié un avis complémentaire concernant un scénario d’exploitation rare lié à la gestion des sessions, accompagné d’une recommandation technique temporaire.
Les entreprises devraient donc demander à leur fournisseur informatique de confirmer trois éléments essentiels :
Le serveur utilise-t-il une version corrigée de PHP ou un correctif équivalent fourni par l’hébergeur?
Les configurations et applications exposées à Internet ont-elles été vérifiées?
Les journaux de sécurité ont-ils été examinés afin de rechercher d’éventuelles tentatives d’intrusion?
La mise à jour d’un site WordPress, à elle seule, ne garantit pas que le moteur PHP a été corrigé.
Et l’installation d’un correctif ne permet pas de déterminer automatiquement si une intrusion avait déjà eu lieu auparavant.
Une leçon pour les entreprises du Québec
Les événements des derniers jours rappellent une réalité importante : la cybersécurité ne concerne plus uniquement les banques, les gouvernements et les grandes sociétés.
Elle concerne également les commerces, les fabricants, les distributeurs et toutes les PME qui dépendent d’un site Web ou d’une application pour leurs activités quotidiennes.
Les mesures prises par la SAQ, la STM, la SAAQ et la Ville de Montréal devraient encourager une réflexion dans toutes les entreprises du Québec.
Si de grandes organisations ont jugé nécessaire de suspendre temporairement certains services par précaution, les PME devraient au minimum s’assurer que leurs propres systèmes ont été vérifiés.
Logiciels Smart Deal : accompagner les entreprises dans la vérification de leur sécurité
Face à PHP2Shell, les entreprises n’ont pas nécessairement besoin de devenir des spécialistes en cybersécurité.
Elles doivent surtout savoir si leurs systèmes sont exposés et quelles mesures doivent être prises.
Logiciels Smart Deal accompagne les entreprises qui souhaitent faire vérifier leur environnement informatique, déterminer les correctifs nécessaires et réduire leur exposition aux vulnérabilités.
Votre site Web fonctionne aujourd’hui. Assurez-vous qu’il soit également protégé pour demain.
Communiquez avec Logiciels Smart Deal pour demander une vérification de votre environnement PHP.
Article publié le 23 octobre 2026. Informations fondées sur les sources et références ci-dessous.
Pour aller plus loin
Consultez notre guide pratique : comment protéger le site Web de votre entreprise contre PHP2Shell.
Demander une vérification de votre environnement PHP
Sources et références
- Projet PHP : avis et correctifs des 21 et 23 octobre 2026
- Ville de Montréal : fermetures préventives
- Narcity Québec : interruptions de la SAQ, de la STM et de la SAAQ
- Ma Côte-Nord : mesures préventives de la STQ
- Amazon Threat Intelligence : observations MadPot
- Imperva : premières 24 heures d’activité observée
