Deux failles critiques de PHP ont secoué Internet la semaine dernière. Connues sous le nom de « PHP2Shell », les failles CVE-2026-109618 et CVE-2026-109619 permettent aux pirates d’exécuter du code sur des serveurs web sans même avoir à se connecter.
Si vous avez suivi l’actualité, vous vous demandez sans doute si vos e-mails sont en sécurité.
Votre compte Mailfence n’est pas concerné. Vos e-mails, vos documents, votre agenda et vos contacts restent entièrement protégés. Voici ce qui s’est passé et pourquoi vous pouvez continuer à utiliser Mailfence comme d’habitude.
Qu’est-ce que PHP2Shell ?
PHP2Shell fait référence à deux failles de sécurité critiques (CVE-2026-109618 et CVE-2026-109619) dans PHP, le langage de programmation qui alimente environ 75 % de tous les sites web.
Le projet PHP a publié des correctifs le 21 octobre 2026. Cependant, watchTowr a confirmé que des attaques étaient en cours ce même jour, les premières tentatives remontant au 17 octobre.
Pourquoi PHP2Shell n’affecte-t-il pas Mailfence ?
Voici ce qui est rassurant : Mailfence n’utilise pas PHP pour son service.
Étant donné que PHP2Shell cible spécifiquement les environnements de serveurs PHP, cette voie d’attaque n’existe tout simplement pas sur nos systèmes.
Le moteur d’exécution principal de PHP ne fait pas partie de notre pile technologique ; vos données Mailfence n’ont donc jamais été exposées à ces vulnérabilités.
Notre réaction
Même si nos systèmes ne sont pas directement vulnérables, nous prenons très au sérieux tout incident de sécurité majeur.
Notre équipe de sécurité a examiné l’ensemble des systèmes dès que l’information a été rendue publique. Cela a notamment donné lieu à un audit complet des services auxiliaires et des dépendances vis-à-vis de tiers.
Pour notre blog et les pages de notre base de connaissances destinées au grand public, des correctifs de sécurité avaient été installés par notre hébergeur avant même la publication officielle des mises à jour.
À aucun moment, les comptes Mailfence ni les données des utilisateurs n’ont été menacés. Nous continuons à suivre de près l’évolution de la situation.
Que devez-vous faire ?
Si vous utilisez Mailfence comme messagerie principale, vous n’avez aucune mesure à prendre. Votre compte est en sécurité.
Toutefois, PHP2Shell peut affecter d’autres services que vous utilisez. Les plateformes auto-hébergées, les sites WordPress et les applications web fonctionnant sous PHP sont tous potentiellement vulnérables.
Voici ce que nous vous recommandons :
- Mettez immédiatement à jour tous vos services basés sur PHP. Si vous gérez vos propres sites web ou applications, installez sans tarder la dernière version de PHP.
- Méfiez-vous des e-mails de hameçonnage. Les failles de sécurité majeures donnent souvent lieu à des campagnes de hameçonnage se présentant comme des « mises à jour de sécurité urgentes ». Ne cliquez pas sur les liens suspects.
- Activez l’authentification à deux facteurs. Si vous n’avez pas encore activé l’authentification à deux facteurs (2FA) sur votre compte Mailfence, c’est le moment idéal pour le faire.
- Utilisez des mots de passe forts et différents pour chaque service. Un gestionnaire de mots de passe vous facilite la tâche. Si un compte est piraté ailleurs, votre messagerie Mailfence reste sécurisée.
Pourquoi l’architecture de votre fournisseur de messagerie est-elle importante ?
PHP2Shell nous rappelle avec force que ce qui se cache sous le capot de votre service de messagerie revêt une importance capitale.
Une seule faille de sécurité dans PHP a exposé du jour au lendemain des millions de sites web et d’applications. Les choix technologiques effectués il y a des années par votre fournisseur de messagerie font soudainement la différence entre la sécurité et la vulnérabilité.
Mailfence a été conçu dès le départ en plaçant la sécurité au cœur de sa philosophie. Cela inclut :
- Chiffrement de bout en bout avec OpenPGP: seuls vous et votre destinataire pouvez lire vos e-mails
- Chiffrement au repos protection des données stockées sur nos serveurs
- Législation belge en matière de protection de la vie privée et conformité au RGPD: pas de publicité, pas de suivi, pas de portes dérobées
Des questions ? N’hésitez pas à nous contacter à l’adresse support@mailfence.com.
