Failles critiques dans PHP : pourquoi des sites gouvernementaux ont été mis hors ligne
Une partie des services en ligne mondiaux a été perturbée après la révélation de vulnérabilités critiques dans PHP, un langage largement utilisé pour faire fonctionner des sites web. En France, de nombreux sites publics, dont ceux de plusieurs préfectures, sont devenus temporairement inaccessibles. L’Europe et les États-Unis ont également pris des mesures de précaution.
Cet article va aussi vous intéresser : 7600 sites internet du Dark web hors ligne après l’attaque de leur hébergeur
Sites de préfectures hors ligne : une maintenance préventive
Les signalements concernant les sites du gouvernement français ont fortement augmenté sur DownDetector peu après 15 h, mercredi 21 octobre. Selon les constats relayés par la presse, le site des impôts, celui de la préfecture de police, Météo France et la quasi-totalité des sites de préfectures étaient concernés.
Le ministère de l’Intérieur a confirmé une mise en maintenance préventive de ses sites exposés à une vulnérabilité critique, à la demande de l’Anssi. Cette décision illustre la gravité perçue de la faille : plutôt que de laisser des services exposés, les autorités ont préféré les couper temporairement le temps d’appliquer les correctifs.
Une alerte qui dépasse les frontières
Le phénomène n’est pas limité à la France. Aux Pays-Bas, le Parlement, l’agence nationale de cybersécurité et l’administration centrale finlandaise ont aussi mis des sites hors ligne par précaution. Aux États-Unis, la NSA a recommandé une mise à jour immédiate de nombreux sites, en soulignant que le langage concerné présentait des vulnérabilités pouvant ouvrir un accès direct au système de fichiers ou à la base de données des serveurs.
Faille PHP et exécution de code à distance
Les développeurs de la fondation PHP ont annoncé deux vulnérabilités critiques. Ils ont gardé l’information confidentielle pendant environ deux mois afin de préparer un correctif, avant d’inviter les utilisateurs à mettre à jour leurs installations dès que possible. L’avis publié sur PHP.net et le bulletin du CERT-FR, qui les référence sous les identifiants CVE-2026-109618 et CVE-2026-109619, décrivent le même enjeu : une exécution de code à distance.
Pour Guillaume Vassault-Houlière, fondateur de YesWeHack, la faille est particulièrement grave en raison de la diffusion massive de PHP. Elle permet notamment l’exécution de code à distance : un attaquant peut faire tourner du code sur un serveur sans avoir besoin d’un accès physique. Une fois la brèche exploitée, il peut prendre le contrôle du système, dérober des données, installer des logiciels malveillants ou récupérer des comptes liés au site compromis.
Jusqu’à 70 % des sites français exposés ?
L’Anssi a indiqué que plus de 600 000 serveurs utilisaient PHP sur l’Internet français. Un expert en cybersécurité cité par Le Figaro estimait qu’environ 70 % des sites français pouvaient être exposés. Ce chiffre souligne l’ampleur du risque : PHP alimente de nombreux CMS, dont WordPress, Drupal, Joomla et Magento. Toutes les versions depuis PHP 5, publiée en 2004, pourraient être concernées.
Mise à jour PHP : le correctif est disponible
Le correctif est désormais téléchargeable. Pour les responsables informatiques, l’enjeu est d’appliquer la mise à jour rapidement sur l’ensemble des serveurs concernés. Le CERT-FR indique les versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions plus anciennes ne sont plus mises à jour par le projet PHP : il faut alors le correctif du fournisseur, ou un passage vers une version encore maintenue.
Des premières tentatives d’exploitation ont été observées par Cloudflare, dont le directeur technique, Dane Knecht, a évoqué sur X des attaques émergentes et des protections adaptées au fil de l’évolution des vecteurs.
La mise hors ligne n’est pas toujours obligatoire pour installer le correctif, mais elle réduit l’exposition pendant l’opération. L’Anssi recommandait de couper les serveurs concernés jusqu’à l’application de la mise à jour. Pour les sites gouvernementaux, cette précaution a été privilégiée. Pour les entreprises commerciales, la décision est plus délicate, car une interruption de service a un coût. Mais attendre peut exposer davantage.
IA et cybersécurité : un risque accru
Le mode opératoire de l’attaque a circulé avant que toutes les organisations aient pu corriger. Avec l’IA, un attaquant peut plus facilement transformer un mode d’emploi en tentative d’exploitation automatisée. Les experts insistent donc sur la réactivité : identifier les serveurs concernés, tester les sauvegardes, appliquer les correctifs et surveiller les signes d’intrusion.
FAQ
Qu’est-ce que PHP ?
PHP est un langage de programmation très utilisé pour développer des sites web et des applications. Il fait notamment tourner des CMS comme WordPress, Drupal, Joomla ou Magento.
Pourquoi des sites ont-ils été mis hors ligne ?
Les autorités ont choisi une maintenance préventive pour éviter qu’un site vulnérable soit exploité avant l’application du correctif.
La mise hors ligne est-elle obligatoire ?
Non, mais elle réduit le risque pendant l’installation du correctif. L’Anssi recommandait de couper les serveurs concernés jusqu’à la mise à jour.
Que permettent les failles critiques ?
Elles peuvent permettre l’exécution de code à distance, la prise de contrôle d’un serveur, le vol de données ou l’installation de logiciels malveillants.
Que doivent faire les entreprises ?
Inventorier les serveurs PHP, appliquer le correctif, vérifier les sauvegardes, surveiller les logs et renforcer la détection des intrusions.
À retenir
- Deux failles critiques dans PHP ont conduit, le 21 octobre 2026, à des mises hors ligne préventives, dont de nombreux sites de préfectures en France.
- L’Anssi a demandé cette maintenance. Plus de 600 000 serveurs PHP sont recensés sur l’Internet français.
- Le correctif est disponible. Il faut l’appliquer vite, tester les sauvegardes et surveiller les intrusions.
- Les sources à suivre restent l’alerte du CERT-FR, la fondation PHP et le point publié par Cloudflare.
Couper un site n’est pas une fin en soi. C’est le temps gagné pour installer la mise à jour PHP avant qu’une tentative d’exploitation n’aboutisse.
