Ce mercredi 21 octobre, une partie du web public français a baissé le rideau. À la demande de l’Agence nationale de la sécurité des systèmes d’information (Anssi), le ministère de l’Intérieur a mis en maintenance, par précaution, ses sites exposés à une faille informatique jugée critique. D’autres administrations, des médias et des sites à l’étranger ont fait de même. En cause : deux vulnérabilités dans PHP, le langage de programmation qui fait tourner, côté serveur, une très large part des sites internet, dont tous ceux construits avec WordPress, Drupal, Joomla ou Magento.
Ce que nous avons constaté à 19 h 20
Ouelen a vérifié l’accès à plusieurs sites publics vers 19 h 20. Le site impots.gouv.fr affichait toujours une page de maintenance, tout comme celui de la préfecture de police de Paris, celui de la préfecture du Nord, ceux de la CNIL et de vie-publique.fr, ainsi que le site du magazine Challenges. Le site de Météo-France, coupé dans l’après-midi, répondait de nouveau normalement. Dans l’intervalle, le prévisionniste avait indiqué sur X que l’information de vigilance météo serait diffusée sur ses réseaux sociaux.
Selon Le Figaro, les signalements concernant les sites publics français ont bondi sur DownDetector peu après 15 heures. Franceinfo cite aussi les préfectures de Seine-Saint-Denis, des Hauts-de-Seine, du Val-de-Marne, du Val-d’Oise, de l’Essonne et de Seine-et-Marne, ainsi que le site du ministère de l’Économie.
Deux failles, un correctif publié à 16 heures
Le 20 octobre, les développeurs de PHP avaient prévenu de l’arrivée de correctifs pour deux failles critiques, enregistrées sous les références CVE-2026-109618 et CVE-2026-109619. Elles permettent à un attaquant, sans identifiant, de faire exécuter son propre code sur le serveur visé : de quoi, en théorie, voler des données, modifier un site ou y cacher un logiciel malveillant. Selon BFMTV, la découverte a été divulguée sur Hacker News puis sur X avant la fin de l’embargo habituel, ce qui a précipité la publication du correctif, mis en ligne à 16 heures, heure de Paris selon le CERT-FR.
La fondation qui pilote PHP a reconnu ses torts : « Nous n’allons pas le nier : ce retard est un échec structurel », a-t-elle réagi, selon franceinfo, en évoquant le fonctionnement de son équipe de sécurité et son manque de moyens. Le Figaro rapporte que Cloudflare dit observer les premières tentatives d’attaque. Selon le même journal, l’Anssi recense plus de 600 000 serveurs utilisant PHP sur l’internet français.
Bien au-delà de la France
Le phénomène est mondial. Aux Pays-Bas, le Parlement et l’agence nationale de cybersécurité ont mis leurs sites hors ligne, la Finlande a suspendu des services publics en ligne et, en Belgique, des sites de la Région flamande et du SPF Finances étaient indisponibles, selon Le Soir cité par BFMTV. Aux États-Unis, la NSA a appelé à une mise à jour immédiate, et au Japon, la Première ministre Sanae Takaichi a elle-même demandé aux propriétaires de sites de vérifier s’ils utilisent PHP.
Aucun lien n’a été établi avec la panne du réseau mobile d’Orange qui touche la France depuis la fin de matinée : selon BFMTV, l’opérateur privilégie un problème technique (lire notre article sur la panne Orange).
Vous avez un site : ce qu’il faut faire
- Mettre à jour PHP vers les versions corrigées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Toutes les versions antérieures sont concernées, jusqu’à PHP 5, selon l’alerte du CERT-FR.
- Pour un site hébergé chez un prestataire (hébergement mutualisé, WordPress clé en main), vérifier auprès de l’hébergeur que la mise à jour est faite : c’est en général lui qui gère la version de PHP, visible dans le panneau d’administration.
- Les versions 8.1 et plus anciennes ne sont plus maintenues : le projet PHP a exceptionnellement publié des correctifs minimaux pour 7.4, 8.0 et 8.1, mais le CERT-FR recommande d’isoler ces serveurs puis de migrer vers une version suivie.
- En attendant, le CERT-FR propose un contournement partiel, non qualifié : désactiver le réglage session.upload_progress.enabled dans php.ini et, si possible, filtrer les requêtes de type « multipart » via un pare-feu applicatif. L’Anssi recommande surtout de mettre hors ligne les serveurs concernés jusqu’à l’application du correctif.
Pour les internautes, aucune manipulation n’est nécessaire : il faut simplement patienter pour accéder aux sites en maintenance et rester vigilant face aux messages invitant à « mettre à jour » un compte ou à saisir ses identifiants, classiques des périodes de confusion. Les mêmes réflexes valent qu’après la récente fuite revendiquée du fichier I-CAD.
Sources : alerte CERTFR-2026-ALE-014 du CERT-FR, bulletin de sécurité de PHP, ministère de l’Intérieur via franceinfo, Le Figaro, BFMTV, constatations d’Ouelen.
