Ce qui s’est passé
Le 21 octobre 2026, PHP a publié des correctifs pour CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom de PHP2Shell. Ces failles peuvent permettre à un attaquant d’exécuter du code sur un serveur web concerné sans se connecter. L’avis officiel de PHP décrit les installations touchées et les mises à jour. La NSA a conseillé aux exploitants d’appliquer rapidement les correctifs et d’envisager de déconnecter les systèmes concernés s’ils ne pouvaient pas les sécuriser. Une fermeture préventive ne constitue pas, à elle seule, une preuve d’intrusion. Les exploitants doivent consulter les recommandations actuelles des fournisseurs, y compris les avis ultérieurs, plutôt que d’utiliser cet article comme liste de contrôle pour les correctifs.
Ce que cela signifie pour vos données
Le risque immédiat concerne les services qui utilisent des installations PHP vulnérables et les informations auxquelles ces services ont accès. Ce n’est pas la preuve que tout stockage en ligne est dangereux ou que vos fichiers ont fuité. En tant que visiteur, vous ne pouvez pas corriger les serveurs d’un fournisseur. Vous pouvez limiter vos envois, garder vos logiciels à jour et consulter ses avis de sécurité officiels. Si votre compte est concerné, suivez ses instructions vérifiées. Évitez les liens de réinitialisation de mot de passe dans les messages inattendus : ouvrez directement le service. Conservez une sauvegarde distincte des fichiers que vous ne pouvez pas vous permettre de perdre.
Où le chiffrement aide et où sont ses limites
Chiffrer les fichiers sur votre appareil avant de les envoyer, en conservant les clés hors du serveur, aide à protéger leur contenu si les copies stockées sont volées. Cela ne rend pas toute compromission de serveur inoffensive : les attaquants peuvent toujours voir des métadonnées, supprimer des fichiers ou modifier le code qu’une application web envoie à votre navigateur. Ce code pourrait voler les clés lors de l’utilisation de l’application, un risque décrit dans le modèle de sécurité de Proton. Un chiffrement solide exige aussi des appareils sécurisés et des logiciels fiables. Les fichiers conservés uniquement sur votre appareil ne sont pas exposés par une intrusion dans un service auquel ils n’ont jamais été envoyés.
Choisissez ce qui reste sur votre appareil
Vous ne pouvez pas empêcher toutes les failles logicielles, mais vous pouvez choisir où sont stockés vos fichiers privés. Sealby chiffre le contenu des coffres sur votre appareil. Gardez un coffre uniquement en local si vous ne souhaitez pas en envoyer le contenu ; la synchronisation iCloud chiffrée est facultative et s’active séparément pour chaque coffre dans les Réglages. Si vous activez la synchronisation ou créez une sauvegarde chiffrée, des copies peuvent exister hors de votre appareil. Leur protection dépend toujours de la sécurité de vos informations de déverrouillage et de votre phrase de récupération. Le chiffrement ne protège pas un coffre déjà déverrouillé contre une personne qui contrôle votre appareil et ne supprime pas les originaux laissés dans d’autres applications ou services cloud.