Ton site d'agence est peut-être ouvert : la check-list

Par Cédric Dossou Yovo

Demande à ton hébergeur si ton site tourne sur une version de PHP corrigée le 21 octobre 2026, liste tous tes noms de domaine, protège ceux qui n'envoient pas d'email, teste ton domaine principal avec un outil gratuit et fixe une règle simple : jamais de RIB par email.

Deux failles critiques de PHP, le langage qui fait tourner WordPress et environ sept sites sur dix parmi ceux dont on connaît le langage, ont été corrigées le 21 octobre 2026. Le CERT-FR constate des tentatives d'exploitation ciblant certaines installations de PHP. Et aux États-Unis, une équipe immobilière a découvert que 79 de ses noms de domaine inutilisés servaient à envoyer des emails en son nom. Voici ce que tu vérifies en 30 minutes, sans être technicien.

Ce que tu vas apprendre en 10 minutes Ce qui s'est passé le 21 octobre, et pourquoi ton site est concerné s'il tourne sous WordPress.L'email à envoyer à ton hébergeur, prêt à copier.Comment des noms de domaine qui dorment peuvent envoyer de faux emails à ton nom.Le test gratuit de ton domaine, en deux minutes.Pourquoi supprimer un vieux domaine n'est pas toujours la bonne idée.

Le verdict en trois lignes, si tu n'as que 20 secondes Si ton site tourne sous PHP (c'est le cas de WordPress), demande aujourd'hui à ton hébergeur si le correctif du 21 octobre est appliqué.Liste tous tes noms de domaine : ceux qui dorment peuvent servir à usurper ton agence.Une règle pour toute l'équipe et tes clients : jamais de RIB par email, toujours une vérification par téléphone.

La scène : 400 noms de domaine, dont 79 parlaient à sa place

Gary Ashton dirige une grande équipe immobilière à Nashville, aux États-Unis. Au fil des années, il a acheté environ 400 noms de domaine, raconte HousingWire le 12 octobre 2026 : pour de futures implantations, des campagnes, ou pour protéger sa marque. Beaucoup dormaient dans son compte chez son registraire (la société qui gère ses noms de domaine).

Un consultant en sécurité a regardé de plus près. Selon son enquête, 79 de ces domaines « dormants » servaient à envoyer des emails que l'équipe n'avait jamais écrits, depuis des adresses situées notamment en Chine et en Russie. Pas besoin de pirater une boîte mail pour ça : il suffit qu'un domaine ne soit pas protégé.

Selon le consultant qui a installé des protections sur ces domaines, les signalements d'emails non autorisés sont ensuite passés de 235 sur les cinq semaines précédentes à 43 sur les cinq semaines suivantes, et ceux qui restaient étaient rejetés plutôt que livrés. L'équipe n'a pas pu confirmer le contenu des faux emails, ni s'ils avaient atteint des clients.

C'est le point qu'on lit peu dans les conseils de sécurité aux agences : ils parlent du site, rarement des noms de domaine qui dorment.

79 : noms de domaine inutilisés envoyaient des emails au nom d'une équipe immobilière américaine, sur environ 400. Source : HousingWire, 12/10/2026

En France aussi, des agences achètent des noms par ville, par quartier ou pour une campagne. Combien en as-tu ?

Le 21 octobre : deux failles critiques dans PHP

PHP est le langage qui fait tourner une grande partie du web : selon W3Techs, 69,2 % des sites dont le langage est connu (relevé du 27/10/2026). WordPress, qui équipe 39,6 % de tous les sites, en fait partie, comme beaucoup de sites d'agences.

Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles notées 9,2 sur 10, qui peuvent permettre « unauthenticated remote code execution » : en clair, prendre le contrôle du serveur à distance, sans mot de passe. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le projet PHP est net : il n'existe pas de parade complète, « updating is the only safe choice », la mise à jour est le seul choix sûr.

En France, le CERT-FR (le centre de réponse aux incidents de l'État) a publié une alerte, mise à jour jusqu'au 27 octobre : il « constate des tentatives d'exploitation » des deux failles « ciblant des déploiements spécifiques de PHP », et recommande « d'isoler les équipements affectés » puis de migrer vers une version corrigée. Au Royaume-Uni, le NCSC conseille d'envisager la mise hors ligne d'un système qu'on ne peut ni mettre à jour ni protéger provisoirement. Son homologue néerlandais a précisé le 23 octobre que l'exploitation est complexe et qu'un usage à grande échelle est moins probable qu'estimé au départ. Pas de panique, donc, mais une question à poser aujourd'hui.

Un site WordPress sur trois tourne sur un PHP que le projet PHP ne corrige plus

Le plus inquiétant n'est pas la faille du jour. C'est la version.

Le projet PHP ne corrige plus les versions 8.1 et plus anciennes (il a exceptionnellement publié des correctifs minimaux pour 7.4, 8.0 et 8.1 vu la gravité, et certains hébergeurs en ajoutent eux-mêmes). Et PHP 8.2 ne recevra plus de correctifs après le 31 décembre 2026.

D'après les statistiques publiées par WordPress (relevé du 27/10/2026), 33,6 % des sites WordPress tournent sur une version de PHP que le projet ne corrige plus, et 23,2 % sur PHP 8.2, qui sortira du suivi dans deux mois. Si rien ne bouge, plus d'un site WordPress sur deux tournera le 1er janvier 2027 sur une version que le projet PHP ne corrige plus (notre calcul à partir de ces chiffres).

Versions de PHP des sites WordPress, octobre 2026 8.1 et plus anciennes (plus corrigées par le projet PHP) : 33.6 8.2 (fin de suivi le 31/12/2026) : 23.2 8.3 et plus récentes : 43.2 Source : Statistiques WordPress.org, relevé du 27/10/2026, calcul IA Lab Immo par regroupement des versions. https://api.wordpress.org/stats/php/1.0/

Le plan en 30 minutes

Le plan en 30 minutes

• Écris à ton hébergeur ou au prestataire de ton site (5 minutes) : Si ton site est fourni par ton logiciel ou ton réseau, c'est à lui que tu écris. Modèle ci-dessous.
• Liste tous tes noms de domaine (10 minutes) : Connecte-toi chez ton registraire (OVH, Gandi, GoDaddy, Ionos ou autre). Pour chaque nom : sert-il à un site ? à des emails ? à rien ?
• Teste ton domaine principal (2 minutes) : Sur internet.nl, un outil gratuit soutenu par le gouvernement néerlandais, sans compte. Ne regarde que la rubrique « DMARC, DKIM and SPF » : le score global compte aussi des réglages techniques qui ne concernent pas l'usurpation.
• Demande la protection des domaines qui n'envoient pas d'email (5 minutes pour la demande) : Ton prestataire sait faire : c'est une recette publique (voir plus bas). Mais c'est lui qui vérifie d'abord que le domaine n'envoie et ne reçoit vraiment rien (formulaire du site, logiciel, newsletter, redirections) : ce réglage coupe tout.
• Fixe la règle du RIB (5 minutes) : Écris-la dans ta signature, tes mandats et tes emails aux acquéreurs. Et active la double authentification (un code en plus du mot de passe) sur toutes les boîtes mail de l'agence.
• Note la marche à suivre en cas d'incident (3 minutes) : Qui appeler, et la règle des 72 heures (plus bas).

L'email à ton hébergeur Bonjour,

Suite aux failles critiques de PHP corrigées le 21 octobre 2026 (CVE-2026-109618 et CVE-2026-109619), pouvez-vous me confirmer pour le site [adresse du site] : 1. la version de PHP utilisée ; 2. que le correctif du 21 octobre est appliqué (versions 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou correctif équivalent de votre distribution) ; 3. la date prévue de passage à PHP 8.3 ou plus récent si le site est encore en 8.2 ou en dessous, PHP 8.2 n'étant plus corrigé après le 31 décembre 2026 ; 4. si nos noms de domaine qui n'envoient pas d'email sont protégés contre l'usurpation (SPF « aucun serveur », DMARC en rejet, MX nul).

Merci, [Prénom, agence]

SPF, DKIM, DMARC : trois mots à connaître, en clair

Un email peut être envoyé au nom de n'importe quel domaine : l'ANSSI, l'agence de cybersécurité de l'État, rappelle que le protocole de messagerie le permet « par construction ». Trois réglages limitent l'usurpation :

• SPF dit quels serveurs ont le droit d'envoyer des emails pour ton domaine.
• DKIM ajoute une signature qui prouve que l'email vient bien de ton domaine.
• DMARC dit aux messageries quoi faire d'un email qui échoue aux deux premiers contrôles : l'accepter, le classer en indésirable ou le rejeter.

Pour ton domaine principal, l'ANSSI recommande de commencer par la politique la plus souple (« p=none », qui accepte tout et te renvoie des statistiques), puis de durcir. Google et Yahoo exigent ces réglages des gros expéditeurs depuis février 2024 : si tes newsletters partent de ton domaine, c'est déjà un sujet.

Ces réglages se font souvent chez le registraire du nom de domaine, pas forcément chez l'hébergeur du site. Il ne faut qu'un seul enregistrement SPF par domaine : confie la manipulation à ton prestataire.

Pour les domaines qui n'envoient jamais d'email, la recette est publique et simple. Le guide officiel du gouvernement britannique la donne : un enregistrement SPF qui dit « aucun serveur », un DMARC qui rejette tout, une clé DKIM vide et un MX nul. « Criminals can use unprotected domains for email spoofing and phishing », écrit-il : les criminels peuvent utiliser des domaines non protégés pour usurper une identité par email. Attention : un « MX nul » empêche aussi de recevoir le moindre email sur ce domaine. Avant de l'appliquer, ton prestataire vérifie qu'aucune adresse ni aucun service n'en dépend ; en cas de doute, il commence par un DMARC en « p=none » et lit les rapports pendant deux à quatre semaines (notre conseil, dans la logique de la recommandation de l'ANSSI).

La règle du RIB, pour toi et pour tes clients

La fraude au virement fait partie des menaces en forte hausse. Selon le rapport 2025 de Cybermalveillance.gouv.fr (publié en mars 2026), les demandes d'assistance liées aux fraudes au virement (faux RIB ou faux ordres de virement) ont augmenté de 170 % tous publics confondus, et elles représentent 13,5 % des demandes d'assistance des entreprises et associations. Dans la majorité des cas, elles suivent le piratage d'une boîte mail, et le rapport rappelle qu'« une simple vérification auprès du créancier permet d'éviter ce type de fraude ».

Les notaires le disent depuis longtemps : en 2022, le Conseil supérieur du notariat conseillait de ne jamais envoyer son RIB par email et de vérifier par téléphone avec son notaire. Fais de même : jamais de RIB dans un email, et toute demande de virement vérifiée par un appel à un numéro que tu connais déjà.

Et si ça arrive ?

Si une faille ou un piratage expose des données de tes clients, le RGPD t'oblige à garantir une sécurité adaptée (article 32) et à notifier la violation à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après l'avoir constatée, en justifiant tout retard (article 33), sauf si elle ne présente pas de risque pour les personnes. La CNIL conseille aussi de porter plainte après une cyberattaque. Note dès aujourd'hui le nom de la personne qui s'en occupe dans ton agence.

Choisis ton prestataire avec une grille claire Consulte le guide pour choisir un prestataire IA immobilier. Lire le guide anti-arnaque

La question que tu te poses : je garde ou je supprime mes vieux domaines ?

Le réflexe serait de tout supprimer. Attention : selon l'Afnic, qui gère les noms en .fr, un nom en .fr supprimé redevient disponible et peut être attribué à qui en fait la demande après une période de 30 jours. Des services surveillent d'ailleurs les noms qui tombent pour les racheter automatiquement. Un domaine qui porte le nom de ton agence, une fois libéré, peut être racheté par n'importe qui, y compris pour envoyer des emails qui ont l'air de venir de toi.

Notre analyse, et la grille qu'on propose :

Ton agence est-elle protégée ? Connais-tu la version de PHP de ton site, et le correctif du 21 octobre est-il appliqué ?

• Oui
• Non
• Pas de PHP

As-tu la liste complète de tes noms de domaine ?

• Oui
• Non

La rubrique « DMARC, DKIM and SPF » du test internet.nl est-elle au vert pour ton domaine principal ?

• Oui
• Non
• Pas testé

Ta règle « jamais de RIB par email » est-elle écrite et connue de toute l’équipe ?

• Oui
• Non

Bien protégé : Refais le point tous les six mois. Commence par l’étape 1 du plan : Commence par l’étape 1 du plan. Écris à ton hébergeur aujourd’hui : Envoie l’email à ton hébergeur aujourd’hui.

Erreurs à éviter

• Croire que ton site est trop petit pour intéresser. Ces attaques visent des versions de logiciel, pas des agences en particulier.
• Supprimer d'un coup tous tes vieux domaines. Un nom libéré peut être racheté 30 jours plus tard par n'importe qui.
• Passer DMARC en rejet sur ton domaine principal sans test. L'ANSSI recommande de commencer souple : sinon, tu risques de bloquer tes propres emails.

Conclusion

Ton site et tes noms de domaine sont la vitrine numérique de ton agence. Le 21 octobre a rappelé que la vitrine peut rester ouverte sans que tu le saches, et l'histoire de Gary Ashton que les domaines qui dorment peuvent parler à ta place. Trente minutes suffisent pour envoyer un email, faire une liste, lancer un test et écrire une règle. Fais-le avant la fin de la semaine.

Ta check-list sécurité Email envoyé à l'hébergeur ou au prestataire du site.Version de PHP connue, correctif du 21 octobre confirmé.Passage à PHP 8.3 ou plus récent prévu avant le 31/12/2026.Liste complète des noms de domaine, avec leur usage.Domaines sans email vérifiés par le prestataire, puis protégés (SPF « aucun serveur », DMARC en rejet, MX nul).Double authentification active sur les boîtes mail de l'agence.Domaine principal testé sur internet.nl.SPF, DKIM et DMARC actifs sur le domaine principal (en commençant par p=none).Règle « jamais de RIB par email » écrite et partagée.Responsable désigné en cas d'incident (CNIL sous 72 heures si risque).

Fais le point sur ton agence Commence par le diagnostic IA de ton agence. Faire mon diagnostic

Mon site WordPress est-il concerné par les failles PHP d'octobre 2026 ? S'il tourne sur une version de PHP antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 sans correctif équivalent, oui. Demande à ton hébergeur la version et la date du correctif. Qu'est-ce que DMARC ? Un réglage de ton nom de domaine qui dit aux messageries quoi faire d'un email qui prétend venir de toi mais échoue aux contrôles : l'accepter, le classer en indésirable ou le rejeter. Faut-il supprimer les noms de domaine que je n'utilise plus ? Pas sans réfléchir : selon l'Afnic, un nom .fr supprimé peut être attribué à quelqu'un d'autre après 30 jours. Ceux qui portent ta marque se gardent ; s'ils ne servent ni à ton site ni à tes emails, ton prestataire les protège contre l'usurpation. Que faire si mon site est piraté ? Isole-le avec ton hébergeur, porte plainte, et si des données de clients sont exposées avec un risque pour eux, notifie la CNIL au plus tard 72 heures après l'avoir constaté (retard à justifier).

Pour aller plus loin

• Fraude immobilière et IA
• Cyberattaque chez iad
• Fuite du cadastre et données de tes clients

Sources