Le mercredi 21 octobre 2026 à 17:36
Les sites internet des préfectures, dont celui de la préfecture de police, sont inaccessibles depuis ce mercredi 21 octobre. Le ministère de l'Intérieur les a mis hors ligne à titre préventif, à la demande de l'Agence nationale de la sécurité des systèmes d'information (ANSSI). En cause : la découverte de deux failles de sécurité critiques dans PHP, un langage informatique utilisé par une très grande partie des sites dans le monde. Il ne s'agit pas d'une cyberattaque contre les préfectures, mais d'une mesure de précaution. De nombreux autres sites, en France comme à l'étranger, ont été coupés pour la même raison.
Les coupures ont commencé en début d'après-midi. Les sites des préfectures de la Drôme et de l'Ardèche ne répondaient plus depuis 14 heures. Sur DownDetector, une plateforme qui recense les difficultés d'accès aux sites internet, les signalements concernant les services publics ont fortement augmenté peu après 15 heures. Le site des impôts, celui de Météo France et ceux de plusieurs banques, dont BoursoBank, sont également touchés.
"À la demande de l'Agence nationale de la sécurité des systèmes d'information, le ministère de l'Intérieur a procédé à la mise en maintenance préventive de l'ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité", a indiqué le ministère. "Les équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais, dès que le correctif de sécurité sera rendu disponible par l'éditeur. Les publications des préfectures seront faites sur les réseaux sociaux et par voie d'affichage", a-t-il ajouté. En fin d'après-midi, les sites concernés restaient inaccessibles et aucune date de remise en ligne n'avait été communiquée.
Prendre le contrôle d'un serveur à distance
PHP est un langage de programmation qui sert à générer les pages de nombreux sites internet, notamment ceux conçus avec WordPress, Drupal, Joomla ou Magento. Ses développeurs ont annoncé mardi avoir identifié deux failles. Surnommées "PHP2Shell" par les spécialistes, elles permettent à un pirate de prendre la main sur un serveur à distance. "La faille permet d'exécuter du code à distance, autrement dit de faire exécuter du code informatique sur une machine ou un serveur sans avoir à y accéder physiquement", a expliqué au FigaroGuillaume Vassault-Houlière, fondateur de la société française de cybersécurité YesWeHack. L'assaillant peut alors contrôler le site, dérober des données ou y installer des logiciels malveillants.
Le danger n'est pas resté théorique. Dane Knecht, directeur technique de l'entreprise américaine Cloudflare, a indiqué mercredi sur X que des premières attaques exploitant ces failles avaient été observées. Les développeurs de PHP ont publié les correctifs peu avant 16 heures. Ces mises à jour ne concernent toutefois que les versions récentes du langage, à partir de la 8.2. D'après le média spécialisé américain The Record, les versions plus anciennes ne sont plus suivies par le projet PHP.
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.
We are seeing early attacks emerging and are updating mitigations as new vectors show up.
This is a STOPGAP only. Patch as soon as @ThePHPF releases the update at 14:00 UTC today.
— Dane Knecht (@dok2001) October 21, 2026
Découvertes grâce à l'intelligence artificielle
Selon le Wall Street Journal, ce sont des outils d'intelligence artificielle de pointe qui ont permis de mettre au jour ces vulnérabilités dès le mois d'août. D'après le site américain Cybersecurity Dive, des chercheurs de la société Calif les ont découvertes à l'aide d'un modèle d'OpenAI. Wiz, une entreprise de cybersécurité appartenant à Google, les a également identifiées de son côté. Les correctifs devaient initialement être publiés le jeudi 22 octobre. Mais la révélation de ces failles sur le site spécialisé Hacker News, deux jours avant la date prévue, a accéléré le calendrier.
D'après le Wall Street Journal, PHP fait fonctionner jusqu'à 70 % des sites internet dans le monde. Ce chiffre correspond à la part des sites qui utilisent ce langage, et non au nombre de sites réellement vulnérables.
Une alerte mondiale
Face à la menace, plusieurs organismes de cybersécurité ont appelé les organisations incapables d'appliquer les correctifs à couper leurs sites. Parmi eux figurent l'équipe européenne d'intervention en cas d'urgence informatique (CERT-EU), le Centre britannique pour la cybersécurité (NCSC) et son homologue australien (ACSC). Aux Pays-Bas et en Finlande, des agences gouvernementales ont mis leurs sites hors ligne avant même la publication des correctifs, a indiqué Reuters. En Belgique, le ministre-président flamand Matthias Diependaele a fait couper les sites officiels de la Région flamande qui fonctionnent avec PHP, selon la RTBF. L'aéroport d'Amsterdam-Schiphol (Pays-Bas) a suspendu son application mobile. Nintendo a aussi coupé une partie de ses services, selon The Record.