70 % des sites Internet utilisent PHP. Deux failles critiques suffisent à faire trembler la planète numérique.

Impôts, Météo-France, préfectures : l’État français débranche

Consulter ses impôts, effectuer une démarche en préfecture ou vérifier les alertes météorologiques : autant d’opérations devenues compliquées mercredi après-midi. Les internautes se sont heurtés à des messages d’indisponibilité, sans toujours comprendre pourquoi.

Le ministère de l’Intérieur a confirmé avoir placé ses sites concernés en maintenance préventive, à la demande de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Les préfectures, y compris la préfecture de police de Paris, ont été touchées.

Météo-France a également suspendu temporairement l’accès à son site principal et à son portail de vigilance, tout en maintenant la diffusion d’informations par d’autres canaux.

La décision vise à empêcher une éventuelle intrusion, pas à réparer une cyberattaque déjà démontrée. Cette différence mérite d’être précisée : aucun piratage généralisé des administrations françaises n’a été établi.

Pour les usagers, le constat est plus terre à terre. Quand le guichet physique disparaît et que le guichet numérique ferme à son tour, il ne reste souvent qu’à recommencer le lendemain.

PHP : deux failles critiques qui inquiètent la planète

À l’origine de cette mobilisation, deux vulnérabilités identifiées sous les références CVE-2026-109618 et CVE-2026-109619, également associées au nom « php2shell ».

PHP est un langage utilisé notamment pour faire fonctionner des sites dynamiques, des plateformes de commerce et des systèmes de gestion de contenu comme WordPress. Selon les estimations reprises dans les alertes internationales, il équipe près de 70 % des sites Internet.

Cela ne signifie évidemment pas que sept sites sur dix ont été piratés. Les vulnérabilités concernent les installations exposées et non corrigées, avec des risques qui dépendent de leur configuration.

Dans son avis officiel du 21 octobre, le CERT-FR confirme que ces failles peuvent permettre une « exécution de code arbitraire à distance ».

En clair, un attaquant pourrait, dans certaines conditions, faire exécuter ses propres instructions par un serveur vulnérable. Accès à des fichiers, compromission de données, installation de programmes malveillants : les conséquences potentielles sont sérieuses.

La NSA sonne l’alarme, Cloudflare observe les premières attaques

L’inquiétude dépasse largement les frontières françaises. Aux États-Unis, la NSA a recommandé une mise à jour immédiate des systèmes concernés, voire leur mise hors ligne lorsque les correctifs ne peuvent pas être installés suffisamment rapidement.

Même prudence au Royaume-Uni. Plusieurs administrations européennes ont également suspendu des services, notamment aux Pays-Bas et en Finlande.

Cloudflare, entreprise spécialisée dans la protection des sites Internet, indique avoir déployé des défenses contre ces vulnérabilités. Elle signale également de premières tentatives d’exploitation.

Une information qui justifie la vigilance, sans prouver que les sites français temporairement indisponibles ont été compromis.

Le tout-numérique découvre une nouvelle fois ses limites

L’épisode survient au lendemain d’une autre perturbation informatique majeure. Mardi 20 octobre, une panne électrique dans un centre de données Google Cloud à Londres avait désorganisé plusieurs services bancaires britanniques et retardé des audiences judiciaires.

Deux incidents différents, deux causes distinctes, mais des conséquences familières : des services essentiels deviennent inutilisables dès qu’une infrastructure technique rencontre un problème.

Le rapprochement est particulièrement gênant pour les défenseurs d’une dématérialisation systématique. Banques, administrations, paiements, démarches : chaque service transféré exclusivement sur Internet rend sa disponibilité dépendante de logiciels, de serveurs et de prestataires.

La question des solutions de secours se posait déjà avec les restrictions sur les paiements en espèces et le développement de l’euro numérique.

Des correctifs disponibles, mais des systèmes anciens toujours exposés

Les développeurs de PHP ont publié leurs correctifs mercredi 21 octobre. Les versions corrigées sont les 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

L’ANSSI recommande aux organismes concernés d’appliquer ces mises à jour rapidement. Pour les anciennes versions qui ne bénéficient plus d’assistance, une migration vers un système maintenu est nécessaire.

La remise en service des sites dépend désormais des vérifications effectuées par chaque organisme.

Quant aux Français qui souhaitaient simplement accomplir une démarche administrative, ils peuvent toujours apprécier les avantages de la dématérialisation depuis leur navigateur. Du moins lorsque la page accepte de s’afficher.