En bref : si plusieurs sites clients de votre agence sont touchés, ce n'est que rarement un hasard, mais le plus souvent un serveur commun, un accès partagé ou la même version de PHP. Si vous êtes concerné, contactez-nous immédiatement. Nous vous donnons une vue d'ensemble, contenons l'incident à distance, nettoyons les systèmes et vous livrons des rapports pour vos clients.
Ne supprimez rien et ne réinstallez rien pour l'instant. Même si la pression des clients est forte : sans journaux ni fichiers sécurisés, on ne peut ni clarifier la cause ni prouver ce qui n'était pas touché. Signaler une urgence, et nous prenons le relais dès le premier message.
Êtes-vous concerné ? Signes lorsque des sites clients sont piratés
En tant qu'agence, vous voyez des schémas que les exploitants isolés ne remarquent jamais. Les éléments suivants indiquent un incident commun :
- Plusieurs sites clients montrent au même moment les mêmes symptômes : redirections, contenus de spam, avertissements dans le navigateur.
- Le même compte administrateur inconnu ou le même fichier suspect apparaît chez différents clients.
- L'hébergeur signale un abus ou une charge inhabituelle pour un compte qui héberge de nombreux projets.
- Des clients appellent parce que leur site est signalé par Google, et la vérification croisée révèle d'autres sites dans le même état.
- Un développeur ou un ancien collaborateur avait accès à de nombreux projets, et un accès a fuité.
- Des travaux de maintenance via un outil central, par exemple le déploiement, les sauvegardes ou un service de mise à jour, ont modifié un site que vous n'avez pas touché.
- Vous exploitez de nombreux sites sur des versions de PHP dont vous ne pouvez pas démontrer l'état des correctifs pour chacune.
Depuis PHP2Shell s'ajoute le fait que la faille se trouve dans l'interpréteur PHP lui-même. Une mise à jour du CMS, par exemple pour WordPress, ne la ferme pas ; ce qui compte, c'est l'environnement d'exécution PHP qui sert réellement les pages.
Ce que vous faites tout de suite
- Lister les sites concernés : domaine, serveur, compte d'hébergement, version de PHP, CMS, responsables. Les cas suspects y figurent aussi.
- Chercher les points communs : même serveur ? mêmes accès ? même plug-in ? même voie de déploiement ?
- Isoler les sites menacés : mettez en mode maintenance les sites qui diffusent activement du code malveillant. Ne supprimez pas.
- Faire sécuriser les journaux et l'état : demandez à l'hébergeur de conserver les journaux ; sécurisez vos propres journaux de déploiement.
- Vérifier les accès centraux : qui a accès au panneau d'hébergement, à SSH, à Git, au gestionnaire de mots de passe et au déploiement ? Pas de modifications avant concertation.
- Informer les clients avec retenue : d'abord uniquement ce qui est établi. N'indiquez aucune cause avant qu'elle soit déterminée.
- Nous contacter : appelez-nous ou écrivez-nous sur WhatsApp.
Comment PHP SOS aide-t-il concrètement ?
- Faire le point : nous établissons avec vous une vue d'ensemble de tous les sites et serveurs et les classons par urgence : code malveillant activement diffusé, soupçon de fuite de données, vraisemblablement seulement non corrigé.
- Sécuriser et fermer : nous sécurisons chaque système concerné avant toute modification, et fermons la porte d'entrée commune : accès, état de PHP, redémarrage de tous les processus.
- Examiner et nettoyer : nous recherchons systématiquement les mêmes traces sur tous les sites, supprimons les webshells et les portes dérobées et rétablissons proprement. Détails sous Faire supprimer les logiciels malveillants et les webshells.
- Durcir et rendre compte : nous séparons les sites les uns des autres là où c'est judicieux, et livrons pour chaque client un court rapport que vous pouvez transmettre, ainsi qu'un rapport d'ensemble pour vous.
Nous travaillons à distance, sans déplacement, partout en Allemagne et en Europe. Sur demande, en arrière-plan pour votre agence, comme décrit sur la page Agences et marque blanche.
Pourquoi de nombreux sites tombent souvent en même temps chez les agences
Qui exploite de nombreux projets sur un serveur économise des coûts, mais échange en contrepartie l'isolation contre la commodité. Si tout tourne sous le même utilisateur et le même pool de processus PHP, le code d'un site piraté peut lire et modifier les fichiers de ses voisins. Ce n'est pas un cas exotique, mais la norme dans de nombreuses configurations. Isoler les pools PHP-FPM décrit comment séparer proprement les pools.
S'y ajoutent les accès partagés : une clé SSH pour tous les projets, un compte d'hébergement avec tous les domaines, les mêmes mots de passe pour la préproduction et la production. Le principe du moindre privilège s'applique ici. Plus d'informations dans Droits de l'utilisateur du serveur web.
La chaîne d'approvisionnement compte aussi : les plug-ins, thèmes et bibliothèques viennent de tiers, l'hébergeur est responsable de la plateforme, l'agence de l'exploitation. Où passent ces frontières et où naissent les lacunes, Chaîne d'approvisionnement agence et hébergeur le traite.
Inventaire, versions de PHP et communication avec les clients
Le problème le plus fréquent dans de telles situations est le manque de vue d'ensemble : quel site fonctionne sur quel serveur avec quelle version de PHP, et qui en est responsable ? Sans cette liste, on ne peut pas dire qui est concerné par le correctif et qui ne l'est pas. Inventaire des sites web et serveurs montre comment constituer un tel répertoire. Si plusieurs versions de PHP fonctionnent en parallèle, Plusieurs versions de PHP sur un serveur aide en complément.
Face aux clients, la clarté compte. Vous n'avez pas à tout savoir, mais à ne rien enjoliver : qu'est-ce qui est établi, qu'est-ce qui est encore en cours d'examen, que faites-vous ensuite ? Des aides de formulation figurent sous Informer les clients après un incident. Si des données personnelles sont touchées, des obligations de notification au titre de l'art. 33 du RGPD peuvent jouer un rôle. Il s'agit d'une information générale ; l'appréciation relève du délégué à la protection des données et de l'avocat. Si l'incident dépasse des sites isolés, nous passons à une réponse aux incidents structurée.
Ce que vous devriez nous envoyer
- une liste des domaines concernés et de ceux vraisemblablement concernés
- des indications sur le serveur et l'hébergement de chaque projet, si elles sont connues
- les versions de PHP et les CMS ou boutiques utilisés
- les accès que vous pouvez nous accorder et les rôles au sein de l'équipe
- des indications sur ce qui a été modifié ou déployé en dernier
- le nom de l'interlocuteur pour les décisions ainsi que pour la communication avec les clients
Pourquoi PHP SOS
Nous travaillons Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous avez un interlocuteur pour tous les projets concernés, nous travaillons à distance et documentons pour chaque système ce qui a été trouvé et fait. Nous ne promettons pas de miracles. Ce qui ne peut pas être prouvé, nous l'appelons inconnu, afin que vous n'en disiez pas plus à vos clients que ce que vous savez.
Vous êtes concerné ? Appelez-nous. Nous vous aidons.
Si plusieurs de vos sites clients sont suspects, la pression du temps est double : sur le plan technique et dans la relation avec vos clients. Contactez-nous maintenant : appelez-nous ou écrivez-nous sur WhatsApp. Nous prenons le relais dès le premier message et restons à vos côtés jusqu'à ce que l'incident soit clos et documenté. Signaler une urgence maintenant
Questions fréquentes
Pourquoi plusieurs sites clients sont-ils souvent touchés en même temps ?
Les sites partagent souvent un serveur, un compte d'hébergement, le même processus PHP ou les mêmes identifiants. Si un attaquant entre à un endroit, il peut se déplacer latéralement. Une version vulnérable de PHP concerne en outre tous les sites qui l'utilisent.
Dois-je informer les clients immédiatement ?
Cela dépend de la situation et du contrat. Clarifiez d'abord quels sites sont réellement touchés, afin de ne pas informer sur la base de suppositions. En présence de données personnelles, des obligations de notification sont possibles ; l'appréciation relève du délégué à la protection des données ou de l'avocat.
Qui est responsable si le site d'un client a été piraté ?
Cela dépend de vos contrats, de l'étendue de la prestation et du déroulement. Nous ne fournissons pas de conseil juridique à ce sujet. Un rapport propre sur la cause et les mesures aide à clarifier ce point.
Pouvez-vous travailler sous notre nom sans que le client final nous voie ?
Sur demande, nous travaillons en arrière-plan pour votre agence et livrons des rapports que vous pouvez transmettre à vos clients. Nous discutons des détails au préalable.
Suffit-il de nettoyer les sites clients un par un ?
Généralement non. Si la cause se trouve dans le serveur commun, dans un accès partagé ou dans une version de PHP non corrigée, les problèmes réapparaissent après le nettoyage individuel. La cause doit être corrigée en même temps.