Boutiques en ligne : deux failles PHP pourraient exposer vos cartes

Concerné ?

Les acheteurs d’une boutique utilisant une version vulnérable de PHP pourraient être exposés ; aucun site précis n’est identifié.

PHP fonctionne sur le serveur de nombreuses boutiques en ligne. L’apparence du site, même celle de sa page de paiement, ne permet pas à l’acheteur de vérifier si la version utilisée a été corrigée.

Comment on le sait

Deux failles pourraient permettre d’exécuter du code sur un serveur vulnérable.

Des chercheurs de watchTowr les ont découvertes, rapporte Frandroid le 21 octobre 2026. Un correctif est annoncé pour 16 h ce même jour. Sa disponibilité ne garantit pas son installation : une boutique dépend parfois de son hébergeur pour mettre PHP à jour. Corriger le logiciel ne retirerait pas un programme malveillant déjà installé.

Ce qu’on ne sait pas : On ignore les versions de PHP concernées, les boutiques vulnérables et si ces failles ont été exploitées.

Le risque

Sur une boutique compromise, saisir son numéro de carte pourrait exposer ses coordonnées bancaires.

Un pirate ayant pris le contrôle du serveur pourrait ajouter un script à la page de paiement pour copier ces données, ou accéder à des données de compte. Ce sont des scénarios possibles, pas des vols constatés pour ces deux failles. Le paiement pourrait se dérouler normalement, sans signe visible pour le client.

Le contexte

• Une faille de PHP utilisé en mode CGI permettait déjà d’exécuter du code à distance en 2012, selon le CERT-FR dans son bulletin du 11 mai 2012.
• Une autre faille de PHP, CVE-2024-4577, était déjà activement exploitée, selon le CERT-FR dans son bulletin du 17 juin 2024.
• Le taux de fraude des paiements par carte sur internet a baissé de 50 % depuis 2020, selon la Banque de France dans son rapport publié le 9 septembre 2026.

Quoi faire maintenant

Pour un prochain achat, choisissez si possible un paiement qui évite de saisir votre numéro de carte sur la boutique.

1. Utilisez un portefeuille numérique, PayPal ou une carte virtuelle à usage unique si le site et votre banque le proposent.
2. Pour chaque compte marchand, utilisez un mot de passe distinct et activez la double authentification lorsqu’elle est disponible.
3. Vérifiez régulièrement vos débits dans l’application ou l’espace de votre banque. Si un message de commande ou de livraison vous presse de cliquer, ouvrez directement le site du marchand plutôt que son lien.