Nouvelle vague de panique médiatique autour d'une faille critique — cette fois php2shell (CVE-2026-109618, CVE-2026-109619), que nous détaillions dans notre article technique. Comme souvent après ce genre d'alerte, les regards se tournent immédiatement vers les hébergeurs. Sur le terrain, pourtant, la racine du problème est rarement là.
C'est du côté des agences web et des intégrateurs qu'il faut regarder. Le véritable angle mort de la sécurité web reste la gestion du cycle de vie des sites, bien avant la couche serveur :
Résultat : les hébergeurs se retrouvent piégés dans un rôle d'urgentistes. Ils doivent maintenir en vie des environnements dépassés, appliquer des patchs de fortune au niveau serveur, et compenser — tant bien que mal — le manque de rigueur applicative en amont.
La cybersécurité ne se résume pas à pointer du doigt l'infrastructure chaque fois qu'une CVE sort. Elle commence dès la conception du projet, et se poursuit par un engagement réel de maintenance applicative continue — pas une ligne dans un contrat qu'on espère ne jamais devoir activer.
C'est le principe même de notre développement sur mesure : la même équipe qui conçoit votre projet reste votre interlocuteur après la mise en production, pour le corriger et le faire évoluer. Et quand un correctif de sécurité critique sort, comme celui du 21 octobre pour php2shell, c'est notre supervision qui le déploie sans attendre, sur l'ensemble du parc que nous gérons.
À quand une vraie prise de conscience sur la responsabilité des intégrateurs et des donneurs d'ordre, plutôt qu'un réflexe systématique de pointer l'hébergeur ? Parlons-en.