par Mercredi 21 octobre, en début d’après-midi, une bonne partie des sites publics français est devenue injoignable d’un coup. La préfecture de police de Paris, plusieurs préfectures d’Île-de-France, le site du ministère de l’Économie, celui des impôts, Les Échos ou encore Météo-France affichaient tous la même page muette. Rien à voir avec une cyberattaque : c’est l’ANSSI, l’agence française de la cybersécurité, qui a demandé ces coupures, confirme le ministère de l’Intérieur.
À l’origine de cette mise à l’arrêt, deux failles critiques repérées dans PHP. Pour situer, PHP est le langage qui fait tourner une énorme partie du web, du petit blog WordPress aux services de l’État. Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, permettaient à un attaquant de prendre le contrôle à distance d’un serveur vulnérable. Autant dire le scénario qu’on ne veut jamais voir.
Du coup, plutôt que de prendre le risque, l’ANSSI a préféré débrancher le temps d’appliquer les correctifs. En France, l’agence estime que 600 000 serveurs s’appuient sur ce composant. La fondation PHP a publié ses rustines vers 16 heures, avec quatre versions corrigées d’un coup : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Et il n’y a pas de pirouette possible pour s’en sortir autrement : d’après l’équipe PHP, aucun contournement ne protège vraiment, il faut mettre à jour, point.
Pour comprendre ce qui se joue derrière une faille comme celle-ci et mieux protéger vos propres comptes :
Cybersécurité pour les Nuls (3e édition) → voir sur Amazon
Lien affilié Amazon. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
Côté usagers, l’effet a été immédiat et un peu surréaliste. Pour continuer à faire passer leurs informations urgentes, certaines préfectures se sont rabattues sur leurs comptes sur les réseaux sociaux, voire sur de bonnes vieilles affichettes papier collées à l’accueil. On parle quand même de l’État français qui communique par feuille A4.
« Les équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais », explique le ministère de l’Intérieur. Autrement dit, les sites reviennent au fur et à mesure que chaque administration applique le correctif.
Ce genre d’épisode rappelle une réalité qu’on oublie vite : des pans entiers d’internet reposent sur quelques briques logicielles communes, maintenues souvent par des équipes réduites. Quand l’une d’elles flanche, ce n’est pas un site qui tombe, c’est un bout du pays qui se met en pause. Et là, pour une fois, la coupure volontaire valait probablement mieux que d’attendre de voir qui s’engouffrerait dans la faille.
Crédit photo : The PHP Group
