Deux failles critiques dans PHP ont entraîné des fermetures de sites, les correctifs sont disponibles depuis le 21 octobre
Des administrations et Orange ont coupé certains accès par précaution après la découverte de deux failles dans PHP. Les correctifs sont disponibles depuis le 21 octobre, mais leur installation doit être suivie de vérifications avant la réouverture.
L'essentiel
- Deux vulnérabilités critiques de PHP ont provoqué des fermetures préventives de sites dans plusieurs pays.
- Les correctifs ont été rendus disponibles le 21 octobre à 16 heures.
- Des administrations françaises et certains services d’Orange ont suspendu leurs accès.
- Une mise en maintenance ne prouve pas qu’un site a été piraté.
Des correctifs disponibles, mais des réouvertures à vérifier
Une page inaccessible au moment de consulter un service public ou d’utiliser une application peut inquiéter. Dans cette série de coupures, le choix a souvent été préventif : fermer l’accès pour réduire le risque d’intrusion. Deux vulnérabilités critiques de PHP ont poussé des milliers de sites dans le monde à suspendre temporairement leur fonctionnement en attendant une correction.
Le repère décisif est le 21 octobre, à 16 heures, moment où les correctifs de sécurité ont été mis à disposition. Leur publication permet aux équipes techniques de corriger les systèmes concernés. Elle ne signifie toutefois pas que chaque site peut rouvrir immédiatement : le déploiement et les contrôles restent nécessaires. Chez Orange, une grande partie des sites concernés a reçu les correctifs, avec un rétablissement progressif des accès après vérification.
Les administrations françaises et Orange parmi les services concernés
En France, les interruptions ont concerné notamment les impôts, les ministères de la Culture et de l’Intérieur, ainsi que la Préfecture de Police. Le ministère de l’Intérieur a expliqué avoir placé ses sites exposés en maintenance préventive à la demande de l’ANSSI. La quasi-totalité des préfectures figure également parmi les sites touchés, tout comme la CNIL, l’Ademe et cybermalveillance.gouv.fr.
Les situations ont évolué à des rythmes différents. Météo-France et la Ville de Paris avaient rétabli leurs sites le 22 octobre. Le même matin, ceux des impôts et des ministères de la Culture et de l’Intérieur étaient encore signalés en maintenance préventive. Ces états successifs ne constituent donc pas un calendrier commun de retour à la normale.
Orange a aussi suspendu l’accès à une partie de ses applications, sites et services. Cette décision doit être distinguée de la panne mobile survenue le 21 octobre, attribuée par l’opérateur à un équipement défaillant dans son cœur de réseau mobile. À l’étranger, des sites institutionnels ont été fermés par précaution en Allemagne, en Finlande, au Danemark, aux États-Unis et au Royaume-Uni. Dans ce dernier pays, une ministre chargée des technologies a fait état de 32 services gouvernementaux indisponibles, principalement par précaution.
Pourquoi PHP expose autant de services différents
PHP est un langage informatique présent dans environ 70 % du web mondial. Créé au début des années 1990, il intervient notamment dans WordPress, PrestaShop et Drupal. Son rôle dépasse l’affichage d’une page : il permet de consulter une base de données, de reconnaître un utilisateur connecté ou de lui présenter un contenu personnalisé. Une faiblesse dans cet outil peut donc concerner des sites très différents.
Les deux vulnérabilités portent les références CVE-2026-109618 et CVE-2026-109619, avec une gravité évaluée à 9,2 sur 10. Elles peuvent ouvrir un accès aux fichiers ou aux bases de données d’un serveur. Elles pourraient aussi permettre d’y exécuter du code à distance. L’enjeu ne se limite donc pas à une page qui s’affiche mal : il touche au contrôle des systèmes et à la protection des données personnelles.
Une fermeture préventive ne démontre pas un piratage
Couper un accès vise notamment à empêcher une récupération de données pendant que les équipes sécurisent le service. Pour vous, une page de maintenance indique donc une indisponibilité, pas la preuve d’un vol de données. Il faut distinguer la présence d’une faille, son exploitation possible et une intrusion effectivement constatée.
Le risque n’est pourtant pas seulement théorique. L’équipe Amazon Threat Intelligence a repéré une tentative d’exploitation antérieure à la divulgation officielle. Ryan Austin indiquait toutefois ne pas avoir observé d’exploitation largement répandue à ce stade. Cette distinction explique les mesures prises : réduire l’exposition sans attendre qu’une attaque massive soit constatée.
