Imported Article – 2026-10-21 18:25:55

De très nombreux sites français, dont l’ensemble des sites des préfectures, sont actuellement inaccessibles. L’Europe et les États-Unis sont également touchés.

Tout un pan de l’Internet mondial retient son souffle. Mercredi 21 octobre, des sites gouvernementaux en Europe et aux États-Unis ont été mis hors ligne par précaution, après la découverte de failles critiques dans PHP, un langage informatique qui fait tourner une multitude de sites web à travers la planète. La France a connu son lot de difficultés. Sur le site DownDetector, qui recense les difficultés d’accès à différents sites internet, les signalements associés aux sites publics du gouvernement français ont explosé peu après 15h ce mercredi.

Le Figaro a ainsi constaté que le site des impôts, celui de la Préfecture de Police, celui de Météo France et celui de la quasi-totalité des préfectures françaises étaient temporairement inaccessibles. « À la demande de l’Anssi, le ministère de l’Intérieur a procédé à la mise en maintenance préventive de l’ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité », a confirmé mercredi après-midi le ministère de l’Intérieur.

Le reste du monde n’a pas été épargné : en Europe, le parlement néerlandais, l’agence nationale de cybersécurité des Pays-Bas et l’administration centrale finlandaise ont eux aussi mis leurs sites hors ligne par précaution. Aux États-Unis, la NSA, l’agence chargée de la cybersécurité des systèmes de l’État américain, a de son côté recommandé, dans un message sur X, une mise à jour « immédiate » de nombreux sites internet. « Ce langage présente des vulnérabilités susceptibles d’offrir un accès direct au système de fichiers ou à la base de données des serveurs », met en garde l’agence.

Menace cyber au plus haut

Le vent de panique a commencé à se lever mardi soir. Après avoir gardé deux mois durant le secret sur une faille découverte dans le langage de programmation PHP, le temps de créer un correctif, les développeurs de la fondation PHP ont annoncé avoir identifié « deux vulnérabilités critiques » et exhorté les utilisateurs à « effectuer la mise à jour dès que celle-ci sera disponible ». « C’est une vulnérabilité hypercritique, PHP est utilisé sur toute la planète », souligne Guillaume Vassault-Houlière, fondateur de YesWeHack. « La faille permet d’exécuter du code à distance, autrement dit de faire exécuter du code informatique sur une machine ou un serveur sans avoir à y accéder physiquement », poursuit-il. Une fois engouffré dans la brèche, le pirate « peut prendre le contrôle, voler des données, installer des logiciels malveillants cachés, récupérer des comptes associés au site piraté », détaille le spécialiste.

Mercredi soir, l’Agence nationale de la sécurité des systèmes d’information a assuré que plus de 600.000 serveurs exploitaient le langage PHP sur l’Internet français. Nans M., un expert en cybersécurité et spécialisé dans les nouvelles technologies d’IA, affirmait plus tôt dans la journée auprès du Figaro qu’environ « 70 % des sites internet en France étaient exposés ». À l’entendre, il y a urgence pour les entreprises, mairies et autres administrations à installer les correctifs, car la recette pour exploiter la faille circule déjà chez les pirates. « Le mode d’emploi de l’attaque a été publié ce mercredi avant que les organisations n’aient pu corriger la faille. Il suffit de donner la recette à une IA, le site visé, et celle-ci parviendra à se débrouiller toute seule pour atteindre l’objectif ».

Mettre hors ligne avant correctif

Des assaillants auraient d’ores et déjà cherché à exploiter la faille, selon Dane Knecht, directeur technique de Cloudflare. « Nous observons l’émergence des premières attaques et adaptons nos mesures de protection à mesure que de nouveaux vecteurs apparaissent », a-t-il écrit sur X, tout en soulignant que ces protections ne constituaient qu’une solution provisoire. PHP est utilisé par de nombreux systèmes de gestion de sites internet, dont WordPress, Drupal, Joomla et Magento. À ce stade, toutes les versions de PHP depuis la version 5, publiée en 2004, pourraient être concernées.

Le correctif est désormais disponible au téléchargement. Pour les responsables informatiques du monde entier, une course contre la montre s’engage : tant que leurs systèmes ne sont pas mis à jour, leurs sites restent exposés aux attaques. Nans M. souligne qu’il n’est pas indispensable de les mettre hors ligne pendant l’installation du correctif, mais que cette précaution permet de réduire les risques. « On peut imaginer que la plupart des sites en maintenance, notamment gouvernementaux, ont préféré être coupés du réseau, le temps de généraliser le remède sur l’ensemble de leurs parcs ». L’Anssi recommandait d’ailleurs mercredi soir « la mise hors ligne des serveurs concernés jusqu’à application de la mise à jour intégrant les correctifs de sécurité ». Pour les entreprises commerciales, la décision est certes délicate : interrompre leur activité en ligne peut avoir un coût. Mais, aux yeux de notre expert en cybersécurité, le risque d’attendre est plus grand encore. « Avant, vous pouviez vous permettre d’attendre pour une mise à jour, car les failles ne circulaient que chez une poignée de sociétés spécialisées. À l’heure de l’IA, il faut prier pour que cela se passe bien ».

SOURCE