Deux failles PHP ont poussé des administrations à couper leurs sites, les correctifs sont disponibles depuis le 21 octobre
Des sites publics ont été déconnectés par précaution dans plusieurs pays face à deux failles critiques de PHP, corrigées le 21 octobre 2026. Cette réponse d’urgence a aussi mobilisé les hébergeurs privés, sans garantir une remise en ligne immédiate.
L'essentiel
- Préfectures, Météo-France et administrations étrangères ont suspendu leurs sites par précaution.
- Deux vulnérabilités critiques permettent une prise de contrôle à distance sans authentification.
- Les correctifs PHP sont disponibles depuis le 21 octobre 2026.
- Leur publication ouvre la phase de mise à jour, mais ne rétablit pas automatiquement les sites.
En France, des services publics rendus inaccessibles par précaution
Un site de préfecture en maintenance, celui de Météo-France inaccessible : ces interruptions ont une même origine, deux vulnérabilités critiques de PHP. Le ministère de l’Intérieur a temporairement retiré du web les sites préfectoraux et ceux de services administratifs des collectivités locales, dans l’attente d’une correction. La préfecture de police de Paris fait partie des administrations concernées.
Cette décision relève d’une mesure préventive demandée par l’Anssi, et non de l’annonce d’un piratage de chacun de ces sites. Pour vous, la conséquence reste visible : une page officielle peut être indisponible alors que vous cherchez une information administrative. Pendant cette interruption, le ministère a prévu de diffuser les publications préfectorales sur les réseaux sociaux et par affichage.
La Belgique, les Pays-Bas et la Finlande également concernés
La réaction a dépassé les frontières françaises. En Belgique, la police fédérale ainsi que les services fédéraux chargés des Finances, de l’Emploi et des Affaires étrangères ont temporairement interrompu leurs sites. Le gouvernement flamand a, lui, demandé de déconnecter tous ses sites utilisant PHP. La consigne porte donc sur une technologie présente dans l’administration, plutôt que sur un seul service identifié.
Aux Pays-Bas, l’agence nationale de cybersécurité a elle-même coupé son site par précaution. Des sites publics ont également été retirés du web en Finlande. Ces décisions illustrent le même arbitrage : accepter une interruption temporaire de l’accès à l’information pour limiter l’exposition des systèmes. Elles ne permettent pas, à elles seules, de conclure que les administrations concernées ont subi une intrusion.
Pourquoi les autorités ont recommandé de couper certains sites
Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, obtiennent chacune 9,2 sur 10 sur l’échelle CVSS v4.0. Elles peuvent autoriser l’exécution de code à distance sur un serveur vulnérable, sans authentification. GoDaddy a décrit les conséquences possibles : des données dérobées, un site dont le contenu est modifié ou un serveur entièrement compromis. L’enjeu dépasse donc une panne d’affichage.
CERT-EU a recommandé le retrait des sites affectés lorsque les organisations ne peuvent pas appliquer les correctifs. Au Royaume-Uni et au Japon, les agences de cybersécurité ont également préconisé une mise à jour ou une coupure dans l’intervalle. La menace n’était pas seulement théorique : Cloudflare a signalé l’apparition de premières attaques. Cette activité explique le recours à une solution aussi visible que la déconnexion.
Le 21 octobre marque la disponibilité des corrections, pas un retour général
Les correctifs ont été publiés le 21 octobre 2026. Les versions corrigées citées comprennent PHP 8.5.12 et 8.4.27, ainsi que 8.3.36 et 8.2.35. Cette publication a changé la nature de l’urgence : les équipes pouvaient passer de l’attente et des protections temporaires à l’installation des corrections. Elle ne signifiait toutefois pas que chaque site interrompu redevenait immédiatement accessible.
Dans le privé, la mobilisation s’est aussi traduite par des protections provisoires chez OVHcloud, SiteGround, o2switch et Cloudflare. Il faut distinguer ces mesures des mises hors ligne décidées par les administrations : elles ne décrivent pas une fermeture générale des sites hébergés. Pour un même incident, les réponses ont ainsi varié entre interruption préventive, filtrage temporaire et déploiement des versions corrigées.
