Qu'est-ce qui arrive sur mon propre serveur ?
Les 30 derniers jours : du 01.10.2026 à aujourd'hui, 8 h, mis à jour toutes les heures. S'applique à tous les chiffres et graphiques de cette page. Je ne conserve pas les données plus de 90 jours.
Environ 22.000 tentatives d'attaque en 30 jours. Sur un seul petit serveur.
C'est le serveur sur lequel tourne ce site. J'ai compté les requêtes bloquées par mon pare-feu et les appels de fichiers qui n'existent pas ici. Presque tout provient de programmes qui parcourent Internet entier jour et nuit. Personne n'a choisi secureIT. Toute entreprise avec un site web, un routeur ou un serveur de messagerie est touchée de la même façon, aussi petite soit-elle.
750
tentatives par jour en moyenne1.050
expéditeurs différents106
paysmoins de 0,1 %
de scanners de recherche connusPériode : les 30 derniers jours, du 01.10.2026 au 30.10.2026, 8 h, comme choisi ci-dessus.
PHP2Shell : ce qui en arrive sur mon serveur
PHP2Shell (CVE-2026-109618 et CVE-2026-109619) est une faille critique de PHP, le langage de programmation derrière environ trois quarts des sites web, WordPress et de nombreuses boutiques compris. Connue depuis le 21 octobre 2026, exploitée même avant. L'attaquant envoie un téléversement de fichier préparé. PHP le découpe avant que le site ne s'exécute, et du code étranger peut ainsi atterrir sur le serveur. Ces quatre chiffres montrent ce qui en arrive chez moi, du signe le plus net au bruit de fond.
8
Téléversements vers des adresses sans fonction de téléversement
Le signe le plus net de PHP2Shell. Un visiteur normal n'envoie jamais de fichier à ces adresses, car la page n'en accepte aucun. Mais PHP traite un téléversement à n'importe quelle adresse, avant même que la page ne s'exécute. C'est précisément dans ce traitement que se trouve la faille.
2
Téléversements manipulés
Téléversements dont la structure est volontairement faussée, par exemple avec des séparateurs cassés ou absents entre les fichiers. Le pare-feu les bloque. PHP2Shell a besoin précisément de tels téléversements faussés pour dérouter PHP pendant leur découpage.
15
Code PHP malveillant et commandes système
Requêtes contenant du code PHP ou des commandes destinées au serveur. Si une attaque comme PHP2Shell réussit, c'est précisément ce code qui doit ensuite s'exécuter.
environ 21.000
Recherche de fichiers PHP
Pas PHP2Shell, mais le bruit de fond : des bots appellent des fichiers PHP qui n'existent pas ici, surtout des portes dérobées et des connexions WordPress. Une partie cherche précisément les portes dérobées laissées sur un serveur après une intrusion réussie comme PHP2Shell.
Impossible de prouver de l'extérieur qu'un événement isolé était vraiment PHP2Shell. Mon serveur est corrigé.
Vous utilisez PHP sur vos propres serveurs ? La faille critique PHP2Shell d'octobre 2026 est corrigée à partir de PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions antérieures sont vulnérables.
Période : les 30 derniers jours, du 01.10.2026 au 30.10.2026, 8 h, comme choisi ci-dessus. Je ne compte les téléversements que depuis le 29.10.2026 ; avant, seuls les blocages du pare-feu y figurent.
Ce qui a été tenté
- Recherche de portes dérobées environ 14.300
Appels de fichiers portant des noms typiques de webshells. Les bots espèrent tomber sur une porte dérobée laissée sur le serveur par un autre attaquant.
- Attaques WordPress environ 5.800
Tentatives de connexion avec des mots de passe devinés et recherche de plugins vulnérables. Mon serveur ne tourne même pas sous WordPress, les bots essaient quand même.
- Recherche d'identifiants environ 1.300
Tentatives de récupérer des fichiers de configuration contenant mots de passe et clés, exposés sur des sites mal configurés.
- Reconnaissance du serveur environ 300
Appels de pages de test et d'état pour connaître les versions logicielles et choisir des failles adaptées.
- Failles d'autres logiciels environ 130
Failles connues de programmes, routeurs et pare-feu que je n'utilise même pas. Les scanners les testent à l'aveugle sur chaque adresse d'Internet.
- Requêtes de bots suspectes environ 110
Requêtes qui enfreignent les règles du Web ou portent les marques typiques de scripts de scan simples.
- Outils d'administration environ 60
Recherche de gestionnaires de bases de données et de fichiers accessibles librement.
- Injection de code environ 40
Requêtes contenant du code malveillant : commandes SQL contre la base de données, commandes shell, scripts ou téléversements manipulés destinés à faire exécuter du code étranger au serveur.
- Divers environ 40
Autres requêtes bloquées ou sans issue, sans schéma clair.
Période : les 30 derniers jours, du 01.10.2026 au 30.10.2026, 8 h, comme choisi ci-dessus.
Chaque jour, à toute heure
01.10.30.10.2026
Période : les 30 derniers jours, du 01.10.2026 au 30.10.2026, 8 h, comme choisi ci-dessus. Une barre par jour, celle d'aujourd'hui n'est pas encore complète.
0 h12 h23 h
Période : les 30 derniers jours, du 01.10.2026 au 30.10.2026, 8 h, comme choisi ci-dessus. Par heure de la journée, heure allemande, additionnée sur tous les jours.
Il n'y a pas d'heure calme : ces programmes ne connaissent ni fin de journée ni week-end.
Où se trouvent les machines émettrices
Période : les 30 derniers jours, du 01.10.2026 au 30.10.2026, 8 h, comme choisi ci-dessus.
- Corée du Sudenviron 5.900
- Australieenviron 5.100
- Indeenviron 3.400
- Japonenviron 2.000
- Hong Kongenviron 1.400
- Singapourenviron 750
- Allemagneenviron 650
- Belgiqueenviron 650
Le pays indique où se trouve la machine, pas où se trouve la personne derrière. Les attaquants louent des machines dans des centres de données tiers ou utilisent des routeurs et PC détournés. Prudence donc avec des conclusions comme « les attaques viennent du pays X ».
Source : analyse personnelle des journaux du serveur secureit.icu. Grands chiffres arrondis. Je ne publie volontairement ni adresses, ni requêtes individuelles, ni réglages du pare-feu. Pays : IP Geolocation by DB-IP (CC BY 4.0).