Météo France, le site des impôts, des préfectures, certains médias... Ce que l'on sait de la faille internet qui met les sites en maintenance et panique les développeurs

C'est la panique chez les développeurs de sites web. Depuis plusieurs heures, les maintenances s'enchaînent aussi bien sur des sites gouvernementaux, de Météo France, de la préfecture et que sur des sites d'actualité.

La découverte de deux failles de sécurité majeure au sein du langage de programmation PHP et sa correction quelques heures plus tard, nécessite une maintenance d'urgence.

· Quels sites sont touchés?

PHP est un langage extrêmement populaire et près de 70% des sites web mondiaux en profitent. On le retrouve notamment dans Wordpress, mais également au sein de nombreux sites ayant pignon sur rue.

Parmi les exemples flagrants, on peut notamment noter la mise en maintenant de plusieurs sites gouvernementaux (préfectures, préfecture de police, ministères...), celui de Météo France, les impôts sont également touchés. Certains de nos confrères, comme Challenges et les Échos sont aussi en maintenance, tout comme le site de la Cnil, le gendarme des données personnelles, ou encore vie-publique.fr. BFMTV.com, en revanche, n'est pas concerné.

À l'international, selon Le soir, plusieurs sites belges sont hors lignes. C’est par exemple le cas des sites web officiels de la Région flamande, le portail du Parlement flamand et les sites informatifs du SPF Finances sont temporairement indisponibles.

De son côté, la Finlande a temporairement suspendu l’accès aux services en ligne de son gouvernement, tandis que l’agence néerlandaise de cybersécurité a annoncé la mise hors ligne de son site en raison de failles de sécurité. L'agence nationale de cybersécurité aux Pays-Bas est également concernée.

· Pourquoi cette maintenance d'urgence?

Car il s'agit de failles critiques. Un pirate a dévoilé sa découverte lui permettant d'exécuter du code à distance et sans avoir besoin d'identifiant administrateur. Grâce à cela, il lui est possible d'injecter un logiciel malveillant et d'infecter de nombreux internautes alors qu'ils visitent simplement un site web.

Les conséquences peuvent être considérables. Sur le site d'une administration, un pirate pourrait, selon les droits auxquels il parvient à accéder, consulter ou dérober des données personnelles, modifier des informations affichées aux internautes ou rendre certains services indisponibles. Sur un site marchand, il pourrait chercher à récupérer des informations sur les clients ou les commandes. Il pourrait également installer un logiciel malveillant sur le serveur et s'en servir pour mener d'autres attaques.

· Le correctif est-il disponible?

Oui. PHP a mis en ligne un correctif d'urgence dès ce 21 octobre 2026 à 16h. Il est accessible à cette adresse.

Il est conseillé de faire immédiatement la mise à jour et de vérifier que le correctif a bien été installé avec la commande php -v.

· Comment la faille a-t-elle été découverte?

Tout est parti d'un pirate dévoilant sa trouvaille sur la plateforme Hacker News, puis ensuite sur X. Le problème, c'est que cette faille connue ne devait l'être officiellement qu'une fois celle-ci corrigée. Mais l'embargo accepté par la plupart des hackeurs "éthiques" n'a pas été respecté, ce qui a provoqué la diffusion dans l'urgence de ce correctif.

Le pirate en question explique qu'il a finalement dévoilé sa trouvaille en apprenant qu'un autre acteur prévoyait de le faire.

Mais à l'origine, c'est un travail collaboratif entre deux sociétés de cybersécurité, aidé de l'intelligence artificielle, qui a permis d'identifier les failles. OpenAI a expliqué sur son blog que ses modèles de pointe avaient été "essentiels pour rendre ce processus réalisable".

· C'est quoi ce langage de programmation?

PHP est un langage de programmation très répandu, utilisé par 70% des sites web. Principalement utilisé pour développer des pages web dynamiques, la particularité du PHP est qu'il opère en arrière-plan.

Autrement dit, le code est exécuté côté serveur, donc le client ne voit jamais le code qui a produit le résultat, comme indiqué sur le site officiel du langage de programmation. Les utilisateurs ne voyant que le résultat, il est ainsi impossible pour eux de savoir que du PHP est utilisé.

· Est-ce que c'est répandu dans le monde?

Plusieurs pays sont également concernés. C’est par exemple le cas des États-Unis, du Japon, de la Finlande ou encore de la Belgique.

"PHP est partout. Il alimente discrètement les sites Wordpress, Drupal, Joomla et Magento, les plateformes d'hébergement mutualisé, les panneaux de contrôle et une quantité impressionnante de logiciels qui ne mentionnent même pas qu'ils utilisent PHP en interne", a déclaré la société de cybersécurité Huntress, auprès de la BBC.

La Maison Blanche a indiqué que les agences fédérales évaluaient les risques potentiels pour les systèmes gouvernementaux et les infrastructures critiques. Elle a également précisé travailler avec les principaux laboratoires d’IA afin d’accélérer la résolution du problème.

Dans un message publié sur X, la Première ministre japonaise, Sanae Takaichi, a quant à elle appelé les internautes à vérifier si leurs sites web accessibles au public reposaient sur PHP.

"Veuillez vérifier si votre site web utilise PHP et vous préparer à appliquer dès que possible le correctif qui sera publié ce soir, le 21 octobre, à 23 h (heure du Japon). S'il vous est difficile d'appliquer rapidement ces correctifs, la mise hors ligne temporaire de votre site web, par exemple, peut constituer une mesure efficace pour réduire les risques", précise-t-elle.

· Pourquoi les Américains demandent une mise à jour immédiate de sites?

Face à la menace, l'Agence de sécurité nationale américaine (NSA) a recommandé aux sites fonctionnant avec PHP d'installer au plus vite une mise à jour destinée à corriger plusieurs failles critiques.

Dans un message publié sur X, l'agence a également conseillé de rendre temporairement inaccessibles les sites qui n'auraient pas encore appliqué ce correctif. Ces vulnérabilités pourraient en effet permettre à des attaquants de prendre le contrôle de serveurs et d'accéder aux données des organisations concernées.