J'ai trouvé des fichiers PHP suspects dans mes uploads : que faire ?
Dernière vérification : 30 octobre 2026
Le dossier uploads n'est normalement destiné qu'à des fichiers médias (images, documents) : un fichier .php qui y apparaît est presque toujours anormal. La méthode : repérer le ou les fichiers suspects sans les exécuter, vérifier leur origine, puis les supprimer en traitant aussi la faille qui a permis leur dépôt.
Vérifiez les failles connues qui ont pu permettre ce dépôt de fichier, en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Comment repérer un fichier suspect
| Indice | Ce qu'il révèle |
|---|---|
| Nom aléatoire ou imitant un fichier système (ex. wp-cache.php, x7fa2.php) | Technique courante pour se fondre dans l'arborescence |
| Date de modification récente et isolée, sans rapport avec une mise à jour | Signe d'un dépôt manuel récent |
| Contenu commençant par des fonctions comme eval(), base64_decode() ou gzinflate() | Code obscurci, caractéristique d'un shell web |
| Fichier présent alors qu'aucun média de ce type n'a été ajouté à cette date | Absence de justification légitime |
Vérifier sans supprimer à l'aveugle
- Conservez une copie du fichier avant intervention (preuve utile si vous devez comprendre l'origine, voire déposer plainte).
- Comparez à une sauvegarde propre antérieure à l'incident si vous en avez une.
- N'ouvrez jamais le fichier dans un navigateur (ce qui l'exécuterait) : lisez-le via l'éditeur de texte de votre gestionnaire de fichiers ou un client FTP.
- Cherchez l'heure exacte dans les journaux d'accès de l'hébergeur pour comprendre comment le fichier est arrivé.
Vérifiez votre site maintenant
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Supprimer et empêcher la récidive
- Supprimez le ou les fichiers confirmés malveillants.
- Vérifiez l'absence d'autres fichiers du même type ailleurs sur le site (thème, extensions, racine).
- Changez les mots de passe (FTP, hébergement, administration).
- Identifiez et corrigez la faille d'origine (version obsolète, mot de passe faible) — sinon un nouveau fichier peut réapparaître.
Sources
Questions fréquentes
Un fichier PHP dans le dossier uploads est-il toujours malveillant ?
Presque toujours. De rares extensions légitimes y déposent du code dans des cas très spécifiques, mais c'est l'exception, pas la règle — ce dossier est conçu pour des médias, pas du code exécutable.
Puis-je supprimer tous les fichiers PHP de ce dossier sans risque ?
En général oui, puisqu'aucun média n'en a besoin pour fonctionner. Vérifiez au préalable qu'aucune extension que vous utilisez réellement ne les a déposés elle-même.
Le fichier peut-il revenir après suppression ?
Oui, si la faille qui a permis son dépôt n'est pas corrigée. Supprimer le fichier traite le symptôme, pas la cause — voir notre page « Site piraté : que faire en premier ? ».
Comment savoir si le fichier a déjà été exécuté par un visiteur ou un attaquant ?
Consultez les journaux d'accès de votre hébergeur à la recherche d'une requête directe vers ce fichier, si ces journaux sont disponibles.
Dois-je supprimer tout le dossier uploads par précaution ?
Non, seulement les fichiers exécutables suspects (.php, parfois .phtml). Les médias eux-mêmes ne sont pas des vecteurs d'exécution de code dans une configuration serveur normale.
Pour aller plus loin
Vérifiez si votre site présente une faille connue
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.