PHP2Shell : deux failles critiques dans le cœur de PHP que WordPress ne corrigera pas à votre place

Deux failles critiques dans le cœur de PHP permettent d'exécuter du code à distance sans authentification, et les mises à jour de WordPress ne les corrigent pas. Voici les versions à viser et la marche à suivre.

7 nov. 2026 4 min

43

#php #securite #php-fpm

Sécurité

Drupal Commerce Core : une faille d'autorisation activement exploitée (CVE-2026-118539)

Une faille critique de contournement d'autorisation, activement exploitée, touche Drupal Commerce Core jusqu'aux versions 2.41 et 3.3.13. Voici comment vérifier votre exposition et corriger.

31 oct. 2026 5 min

75

#php #securite #cve

Sécurité

PHP2Shell : vérifier que le correctif tourne vraiment sur vos serveurs

Deux failles critiques du cœur de PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9,2) permettent de prendre la main sur un serveur sans authentification. Le correctif existe : voici comment s'assurer qu'il est actif, du paquet système au conteneur Docker.

22 oct. 2026 5 min

115

#php #securite #php-fpm

Piloter son site

Un mot de passe ne suffit plus pour protéger votre espace de facturation

Votre espace de facturation concentre vos clients, vos factures et vos paiements, et des robots tentent d'y entrer chaque jour. Un simple mot de passe ne suffit plus : voici pourquoi et quoi faire.

20 oct. 2026 4 min

133

#securite #facturation #authentification

Bases de données

Multi-tenant avec PostgreSQL RLS et Hibernate : où poser le tenant sans fuite de données

Où poser le tenant pour le row-level security de PostgreSQL dans Spring Boot ? Quatre emplacements mesurés sous concurrence : deux fuient des données entre clients, deux isolent correctement.

18 oct. 2026 5 min

117

#postgresql #securite #saas

Sécurité

CVE-2026-108082 : une requête suffit à saturer le CPU de votre application Symfony

Une faille ReDoS dans HeaderUtils::split() de Symfony HttpFoundation permet à un attaquant anonyme de saturer le CPU via le header Cache-Control. Voici comment la comprendre et la corriger.

16 oct. 2026 1 min

127

#php #performance #securite

PHP & Frameworks

Laravel : Mail::alwaysTo() ne protège qu'un seul mailer en staging

Mail::alwaysTo() est présenté comme le filet de sécurité des e-mails de staging sous Laravel, mais il ne couvre qu'un seul mailer. Avec plusieurs transports, des factures de test peuvent encore atteindre de vrais clients.

11 oct. 2026 5 min

183

#php #securite #laravel

PHP & Frameworks

Mettre à niveau une vieille application Laravel : la checklist avant de toucher au code

Une mise à niveau Laravel échoue rarement à cause du framework : PHP, packages, tests et déploiement doivent être vérifiés avant toute commande. Voici une méthode pour migrer une vieille application sans tout casser.

6 oct. 2026 5 min

200

#php #securite #laravel

Bases de données

PostgreSQL 18 : md5_password_warnings et la fin programmée des mots de passe MD5

PostgreSQL 18 déprécie les mots de passe MD5 et ajoute le paramètre md5_password_warnings pour contrôler l'avertissement. Voici comment auditer vos rôles et migrer vers SCRAM-SHA-256.

4 oct. 2026 5 min

128

#postgresql #securite #authentification

Sécurité

PgBouncer en mode transaction et multi-tenant : quand un agent lit les données d'un autre client

En mode transaction, PgBouncer peut laisser des variables de session persister d'un client à l'autre. Couplé au protocole MCP, un agent peut lire les données d'un tenant qu'il n'a jamais demandé.

28 sept. 2026 5 min

206

#postgresql #securite #mcp

PHP & Frameworks

Laravel 13 : ce qui casse vraiment lors de la migration (et ce qui tient bon)

Laravel 13 est officiellement une mise à jour légère, mais trois points de rupture concrets (cache d'objets sérialisés, upserts MySQL, middleware CSRF en test) peuvent casser votre CI/CD si vous ne les anticipez pas.

22 sept. 2026 6 min

235

#php #securite #laravel

Piloter son site

WhatsApp et votre logiciel de gestion : pourquoi le choix de la connexion peut coûter votre numéro de téléphone

Connecter WhatsApp à votre logiciel de gestion peut sembler simple, mais certaines solutions exposent votre numéro de téléphone professionnel à un bannissement définitif par Meta. Voici ce qu'il faut savoir avant de choisir.

21 sept. 2026 4 min

192

#securite #automatisation #pme

Notre Blog