PRISM
💻 Technologie 21 octobre 2026 Bruit 24%

Deux failles informatiques dans le langage PHP interrompent les démarches des services publics en ligne.

La découverte de deux vulnérabilités critiques d'une gravité de 9,2 sur l'échelle CVSS a contraint de nombreux services publics et préfectures à se **mettre hors ligne**. L'**ANSSI** et la **NSA** ont préconisé cette coupure préventive avant la publication en urgence du **correctif de sécurité** ce mercredi 21 octobre.

Deux failles informatiques dans le langage PHP interrompent les démarches des services publics en ligne.

L'analyse

📌 **FAITS**

- **Découverte par IA** : En août 2026, des outils d'intelligence artificielle de pointe ont identifié deux failles critiques (CVE-2026-109618 et CVE-2026-109619) dans le langage PHP.

- **Accélération du calendrier** : Alors qu'un correctif était programmé pour le jeudi 22 octobre, un article paru le 19 octobre sur Hacker News a précipité la divulgation de la vulnérabilité.

- **Attaques actives** : Le 21 octobre 2026, Dane Knecht (Cloudflare) signale que des attaques exploitant ces failles ont démarré sur le réseau.

- **Mesures d'urgence** : Peu avant 16 heures, les patchs officiels ont été publiés sur le site de PHP. Dans l'intervalle, des agences de sécurité (CERT-EU, NCSC, ACSC, NSA, ANSSI) ont recommandé la mise hors ligne immédiate de tous les sites non corrigés.

📍 **CONTEXTE**

- Né en 1994, le langage de programmation open source PHP fait fonctionner plus de 70 % des sites web mondiaux.

- Il constitue la brique fondamentale de plateformes majeures comme WordPress, Drupal, Joomla, Magento ainsi que de nombreux systèmes d'hébergement et panneaux de contrôle.

- Les scripts PHP fonctionnant directement côté serveur, toute faille d'exécution de code à distance offre un accès direct à l'infrastructure hôte.

👥 **ACTEURS**

- **ANSSI & Ministère de l'Intérieur français** : L'agence nationale a demandé au ministère de fermer préventivement l'ensemble de ses sites exposés, basculant la communication administrative vers les réseaux sociaux et l'affichage.

- **Organismes internationaux** : La NSA américaine et les agences CERT-EU, NCSC et ACSC ont exhorté les entreprises et administrations à fermer leurs accès en l'absence de patch immédiatement applicable.

- **Plateformes privées et hébergeurs** : Des interruptions de service ont été constatées sur des médias, le forum 4Chan, GoDaddy, ainsi que sur des sites en Allemagne, Belgique, Finlande, au Royaume-Uni, au Danemark et aux Pays-Bas.

📊 **ENJEUX**

- **Niveau de risque maximal** : Évaluées à 9,2 sur 10 sur l'échelle de gravité CVSS v4.0, ces vulnérabilités permettent la prise de contrôle totale d'un serveur, la modification de contenus ou le vol de données sensibles.

- **Risque systémique** : La présence quasi universelle du PHP sur le web transforme un problème de code en un risque d'interruption massive des services dématérialisés.

🔮 **PERSPECTIVES**

- **Rétablissement progressif** : La réouverture des sites dépend de la rapidité avec laquelle les administrateurs systèmes déploieront les correctifs diffusés ce 21 octobre.

- **Évolution de la menace cyber** : L'utilisation croissante de l'IA pour détecter préventivement des failles fondamentales raccourcit les délais de réaction accordés aux équipes informatiques.

Contexte

Créé en 1994, le langage PHP est l'un des piliers historiques du web. Aujourd'hui, cette infrastructure patrimoniale fait tourner près de 70 % des sites internet mondiaux.

Pourquoi c'est important

Cette suspension d'urgence affecte l'accès en ligne aux préfectures et aux démarches administratives du quotidien. PHP étant le moteur invisible de près de 70 % d'Internet, les autorités ont préféré couper temporairement les accès pour éviter le piratage des données personnelles des usagers.

Acteurs clés

  • ANSSI — Agence nationale de la sécurité des systèmes d'information
    A exigé la mise en maintenance préventive des sites ministériels exposés.
  • Ministère de l'Intérieur — Administration publique française
    A suspendu ses sites de préfectures et réorienté sa communication.
  • Dane Knecht — Responsable chez Cloudflare
    A confirmé la détection d'attaques exploitant ces vulnérabilités dès mercredi.

Chiffres clés

  • 9,2 / 10 — Gravité des failles (CVSS v4.0) (Le Monde)
  • Près de 70 % — Part des sites web utilisant PHP (Libération)

Et ensuite

Scénario Tendanciel : Les correctifs publiés peu avant 16 heures sont progressivement installés par les administrateurs système, permettant un retour à la normale sous 24 à 48 heures. Scénario de Rupture : L'exploitation tardive des correctifs sur des serveurs non mis à jour entraîne des fuites de données d'ampleur sur des plateformes administratives et privées.

Questions fréquentes

Pourquoi les sites des préfectures ont-ils été mis en maintenance le 21 octobre 2026 ?

Ils ont été fermés de manière préventive à la demande de l'ANSSI après la découverte de deux failles critiques dans le langage PHP, afin de prémunir les serveurs contre tout risque d'intrusion.

Quels sont les risques posés par ces failles PHP ?

Classées 9,2 sur 10 sur l'échelle CVSS v4.0, ces vulnérabilités permettent l'exécution de code à distance, exposant les serveurs au vol de données, à la falsification ou à une prise de contrôle totale.

Sources

Lire l'analyse complète dans PRISM