Qu'est-ce qui arrive sur mon propre serveur ?
Les 7 derniers jours : du 24.10.2026 à aujourd'hui, 7 h, mis à jour toutes les heures. S'applique à tous les chiffres et graphiques de cette page. Je ne conserve pas les données plus de 90 jours.
Environ 3.400 tentatives d'attaque en 7 jours. Sur un seul petit serveur.
C'est le serveur sur lequel tourne ce site. J'ai compté les requêtes bloquées par mon pare-feu et les appels de fichiers qui n'existent pas ici. Presque tout provient de programmes qui parcourent Internet entier jour et nuit. Personne n'a choisi secureIT. Toute entreprise avec un site web, un routeur ou un serveur de messagerie est touchée de la même façon, aussi petite soit-elle.
550
tentatives par jour en moyenne350
expéditeurs différents66
pays0,1 %
de scanners de recherche connusPériode : les 7 derniers jours, du 24.10.2026 au 30.10.2026, 7 h, comme choisi ci-dessus.
PHP2Shell : ce qui en arrive sur mon serveur
PHP2Shell (CVE-2026-109618 et CVE-2026-109619) est une faille critique de PHP, le langage de programmation derrière environ trois quarts des sites web, WordPress et de nombreuses boutiques compris. Connue depuis le 21 octobre 2026, exploitée même avant. L'attaquant envoie un téléversement de fichier préparé. PHP le découpe avant que le site ne s'exécute, et du code étranger peut ainsi atterrir sur le serveur. Ces quatre chiffres montrent ce qui en arrive chez moi, du signe le plus net au bruit de fond.
8
Téléversements vers des adresses sans fonction de téléversement
Le signe le plus net de PHP2Shell. Un visiteur normal n'envoie jamais de fichier à ces adresses, car la page n'en accepte aucun. Mais PHP traite un téléversement à n'importe quelle adresse, avant même que la page ne s'exécute. C'est précisément dans ce traitement que se trouve la faille.
2
Téléversements manipulés
Téléversements dont la structure est volontairement faussée, par exemple avec des séparateurs cassés ou absents entre les fichiers. Le pare-feu les bloque. PHP2Shell a besoin précisément de tels téléversements faussés pour dérouter PHP pendant leur découpage.
15
Code PHP malveillant et commandes système
Requêtes contenant du code PHP ou des commandes destinées au serveur. Si une attaque comme PHP2Shell réussit, c'est précisément ce code qui doit ensuite s'exécuter.
environ 3.000
Recherche de fichiers PHP
Pas PHP2Shell, mais le bruit de fond : des bots appellent des fichiers PHP qui n'existent pas ici, surtout des portes dérobées et des connexions WordPress. Une partie cherche précisément les portes dérobées laissées sur un serveur après une intrusion réussie comme PHP2Shell.
Impossible de prouver de l'extérieur qu'un événement isolé était vraiment PHP2Shell. Mon serveur est corrigé.
Vous utilisez PHP sur vos propres serveurs ? La faille critique PHP2Shell d'octobre 2026 est corrigée à partir de PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions antérieures sont vulnérables.
Période : les 7 derniers jours, du 24.10.2026 au 30.10.2026, 7 h, comme choisi ci-dessus. Je ne compte les téléversements que depuis le 29.10.2026 ; avant, seuls les blocages du pare-feu y figurent.
Ce qui a été tenté
- Recherche de portes dérobées environ 1.550
Appels de fichiers portant des noms typiques de webshells. Les bots espèrent tomber sur une porte dérobée laissée sur le serveur par un autre attaquant.
- Attaques WordPress environ 1.350
Tentatives de connexion avec des mots de passe devinés et recherche de plugins vulnérables. Mon serveur ne tourne même pas sous WordPress, les bots essaient quand même.
- Recherche d'identifiants environ 250
Tentatives de récupérer des fichiers de configuration contenant mots de passe et clés, exposés sur des sites mal configurés.
- Requêtes de bots suspectes environ 110
Requêtes qui enfreignent les règles du Web ou portent les marques typiques de scripts de scan simples.
- Reconnaissance du serveur environ 70
Appels de pages de test et d'état pour connaître les versions logicielles et choisir des failles adaptées.
- Injection de code environ 40
Requêtes contenant du code malveillant : commandes SQL contre la base de données, commandes shell, scripts ou téléversements manipulés destinés à faire exécuter du code étranger au serveur.
- Failles d'autres logiciels environ 19
Failles connues de programmes, routeurs et pare-feu que je n'utilise même pas. Les scanners les testent à l'aveugle sur chaque adresse d'Internet.
- Outils d'administration environ 8
Recherche de gestionnaires de bases de données et de fichiers accessibles librement.
- Divers environ 7
Autres requêtes bloquées ou sans issue, sans schéma clair.
Période : les 7 derniers jours, du 24.10.2026 au 30.10.2026, 7 h, comme choisi ci-dessus.
Chaque jour, à toute heure
24.10.30.10.2026
Période : les 7 derniers jours, du 24.10.2026 au 30.10.2026, 7 h, comme choisi ci-dessus. Une barre par jour, celle d'aujourd'hui n'est pas encore complète.
0 h12 h23 h
Période : les 7 derniers jours, du 24.10.2026 au 30.10.2026, 7 h, comme choisi ci-dessus. Par heure de la journée, heure allemande, additionnée sur tous les jours.
Il n'y a pas d'heure calme : ces programmes ne connaissent ni fin de journée ni week-end.
Où se trouvent les machines émettrices
Période : les 7 derniers jours, du 24.10.2026 au 30.10.2026, 7 h, comme choisi ci-dessus.
- Corée du Sudenviron 650
- Singapourenviron 600
- Hong Kongenviron 600
- Australieenviron 500
- Allemagneenviron 200
- Belgiqueenviron 150
- États-Unisenviron 80
- Franceenviron 70
Le pays indique où se trouve la machine, pas où se trouve la personne derrière. Les attaquants louent des machines dans des centres de données tiers ou utilisent des routeurs et PC détournés. Prudence donc avec des conclusions comme « les attaques viennent du pays X ».
Source : analyse personnelle des journaux du serveur secureit.icu. Grands chiffres arrondis. Je ne publie volontairement ni adresses, ni requêtes individuelles, ni réglages du pare-feu. Pays : IP Geolocation by DB-IP (CC BY 4.0).