Black October : ce que la faille PHP d'octobre 2026 apprend aux PME qui ont un site web

Le mercredi 21 octobre 2026, des sites que l'on croit solides ont disparu les uns après les autres : la police fédérale, le SPF Finances, la Région flamande, les titres de DPG Media et de Roularta, Smartschool, la VRT, et même le site du Centre pour la Cybersécurité Belgique (CCB). Personne ne les avait piratés. Leurs équipes les ont coupés elles-mêmes, par précaution, le temps d'appliquer un correctif urgent.

Sur les réseaux, ces quelques jours ont reçu un nom : Black October. Derrière la formule, une question très concrète pour toute PME qui a un site web : si l'administration fédérale a dû débrancher ses sites en urgence, qui s'est occupé du vôtre ?

Ce qui s'est passé

PHP est le langage qui fait tourner une grande partie du web, et notamment WordPress, sur lequel reposent la plupart des sites vitrines de PME. Le 21 octobre, ses développeurs ont publié une mise à jour de sécurité corrigeant deux failles critiques. Selon le CCB, elles pouvaient permettre à un attaquant de prendre le contrôle du serveur à distance, sans identifiant ni mot de passe.

La consigne du CCB était sans ambiguïté : installer le correctif au plus vite et, si ce n'était pas possible, mettre le site hors ligne. Pendant ce temps, Cloudflare observait déjà des millions de tentatives d'exploitation. Le CCB, lui, n'avait recensé aucune attaque réussie contre des sites belges à ce stade : ceux qui ont réagi vite s'en sont sortis.

La même semaine, d'autres incidents se sont empilés. Des clés volées à UpdraftCentral, un outil de gestion à distance de sites WordPress, ont servi à créer des comptes administrateurs pirates et à installer des extensions malveillantes ; quelque 400 000 sites étaient concernés. L'outil en ligne de commande d'OVHcloud a été remplacé quelques heures par une version piégée. Rien de tout cela ne fait la une, mais chacun de ces outils se trouve sur des milliers de sites ordinaires.

Pourquoi cela ne va pas s'arrêter

Selon la société Wiz, les deux failles PHP existaient depuis plus de dix ans. Elles ont été trouvées à l'aide de modèles d'intelligence artificielle de pointe. C'est le vrai changement : l'IA permet désormais de passer au crible du code ancien à une vitesse inédite. On trouve plus de failles, plus vite, et les attaquants disposent des mêmes outils.

Le délai entre l'annonce d'une faille grave et son exploitation se compte désormais en jours : Rapid7 l'estimait en moyenne à trois jours au troisième trimestre 2026. Plusieurs agences de cybersécurité demandaient d'ailleurs depuis le printemps de se préparer à une « vague de correctifs ». Black October n'est pas un accident isolé : c'est un avant-goût du rythme normal.

« Mon site est trop petit pour intéresser qui que ce soit »

C'est l'idée reçue la plus dangereuse. Les attaques de ce type ne visent personne en particulier : des programmes balaient Internet à la recherche de tous les serveurs qui n'ont pas encore été mis à jour. Votre site n'a pas besoin d'être intéressant, il lui suffit d'être en retard.

Et un site compromis coûte cher, même s'il ne contient « que » des pages de présentation :

• Vos formulaires : les demandes de devis et les coordonnées de vos clients peuvent être lues ou détournées, avec une obligation de notification au titre du RGPD.
• Votre réputation : un site piraté peut rediriger vos visiteurs vers des arnaques ou envoyer du spam en votre nom.
• Votre visibilité : Google signale les sites dangereux et peut les faire reculer dans ses résultats, parfois pour des semaines.
• Votre temps : nettoyer un serveur compromis prend bien plus longtemps que de l'avoir mis à jour.

Le vrai risque : personne n'est aux commandes

Dans la plupart des PME que nous rencontrons, le site a été construit il y a quelques années par une agence, un indépendant ou un proche. Il fonctionne, donc personne n'y touche. Mais « il fonctionne » ne veut pas dire « il est à jour ». Trois situations reviennent souvent :

• Personne ne surveille. Le 21 octobre, il fallait savoir le jour même qu'une faille existait, et agir. Si personne n'est chargé de le faire, cela n'arrive pas.
• Le serveur tourne sur une vieille version de PHP. Le correctif d'octobre ne concernait que PHP 8.2 et les versions plus récentes. Un site resté sur une version plus ancienne, qui n'est plus maintenue, ne reçoit tout simplement pas de correctif.
• Personne ne sait où sont les accès. Qui a le mot de passe de l'hébergement ? Qui peut couper le site en urgence ? Quand la question se pose un jour de crise, il est déjà tard.

Les réflexes à avoir dès cette semaine

1. Vérifiez la version de PHP de votre site. Votre hébergeur l'indique dans son espace client. En dessous de PHP 8.2, il faut planifier une mise à niveau, en testant le site avant.
2. Mettez à jour WordPress, le thème et les extensions, et supprimez les extensions que vous n'utilisez plus : chacune est une porte de plus.
3. Retrouvez vos accès : hébergement, nom de domaine, administration du site. Rangez-les dans un gestionnaire de mots de passe et activez la double authentification.
4. Vérifiez vos sauvegardes, et surtout qu'on sait les restaurer. Une sauvegarde jamais testée n'est qu'une supposition.
5. Désignez quelqu'un. Une personne, en interne ou chez un prestataire, dont c'est explicitement le rôle de réagir quand le prochain correctif urgent tombe.

Pourquoi un partenaire fait la différence

La sécurité d'un site n'est pas un projet qu'on livre une fois : c'est un entretien, comme celui d'une chaudière ou d'un véhicule. Les grandes organisations ont des équipes pour cela, et Black October a montré qu'elles en avaient besoin. Une PME n'a ni le temps ni l'envie de lire les bulletins du CCB. Elle a besoin que quelqu'un le fasse pour elle.

C'est le rôle que nous tenons chez Vectelia pour les sites que nous hébergeons et maintenons :

• La veille : nous suivons les alertes de sécurité, pour que vous n'ayez pas à le faire.
• Les mises à jour de PHP, de WordPress et des extensions, appliquées et vérifiées, sans attendre que quelque chose casse.
• Des sauvegardes régulières, et la capacité de remettre le site en ligne si le pire arrive.
• La surveillance du site, du certificat de sécurité et de sa disponibilité.
• Un interlocuteur qui sait où sont les accès et qui peut décider, le jour même, de couper ou de corriger.

Le jour d'une alerte comme celle du 21 octobre, la différence se voit en quelques heures : un site corrigé avant que les tentatives d'attaque n'arrivent jusqu'à lui, plutôt qu'un site découvert compromis des semaines plus tard.

En résumé

Black October n'a pas seulement touché les grandes institutions : il a rappelé qu'un site web est un logiciel vivant, qui vieillit et qui doit être entretenu. Les failles sont trouvées de plus en plus vite, et exploitées de plus en plus vite. La question n'est plus de savoir si le prochain correctif urgent arrivera, mais qui s'en occupera chez vous.

Vous ne savez pas sur quelle version de PHP tourne votre site, ni qui le met à jour ? Parlons-en : nous regardons votre site et vous disons clairement où vous en êtes.