Les sites des préfectures, celui des impôts et celui de Météo-France sont hors ligne depuis ce mercredi 21 octobre après-midi. Ces coupures ne viennent pas d'un piratage. Le ministère de l'Intérieur a mis en « maintenance préventive » ses sites exposés, à la demande de l'ANSSI, le temps de corriger deux failles critiques de PHP, le langage qui fait tourner une large part des sites web dans le monde.
Deux failles surnommées PHP2Shell
Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, vite baptisées PHP2Shell, permettent d'exécuter du code à distance sans authentification. La première exploite une corruption de mémoire quand PHP manque de mémoire en fin de requête ; la seconde, un état interne qui survit à une requête et qu'une requête suivante réutilise sur le même processus. Leur note de gravité atteint 9,2 sur 10.
Selon le projet PHP, toute installation qui sert des pages web est concernée : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le risque est le plus élevé avec mod_php, où l'attaque peut aboutir avant même que le code du site ne s'exécute. Le spécialiste britannique Kevin Beaumont y voit « l'une des plus grosses failles depuis des années », promise à « une masse d'incidents ».
Une fuite a précipité les correctifs
Selon la fondation PHP, un développeur du projet avait repéré les premiers signes de la première faille dès 2024, lors d'un audit. Le 11 août, Calif et OpenAI ont signalé chacun de leur côté une attaque fondée sur la même cause. Wiz a suivi fin août, puis OpenAI a décrit d'autres voies d'attaque en septembre. Mardi après-midi, les deux identifiants ont commencé à circuler sur les forums, avec une note de 10 au lieu de 9,2 et une heure de sortie erronée. Le projet a alors avancé sa sortie d'une journée.
Les versions corrigées sont arrivées mercredi à 16 h, heure de Paris : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le CERT-FR, bras opérationnel de l'ANSSI, avait publié son alerte CERTFR-2026-ALE-014 avant leur sortie, puis l'a mise à jour. PHP 8.1 et les versions antérieures ne sont plus maintenues : le projet a publié des correctifs minimaux pour 7.4, 8.0 et 8.1, mais l'ANSSI recommande d'isoler ces serveurs et de migrer vers une version suivie. En attendant, couper le suivi de progression des envois (session.upload_progress) ne réduit le risque que pour l'une des deux failles.
Cloudflare a déployé des règles de filtrage pour tous ses clients, comptes gratuits compris. Elles ne remplacent pas la mise à jour de PHP.
Des coupures dans plusieurs pays
Le centre britannique de cybersécurité (NCSC) appelle à mettre hors ligne tout système impossible à corriger tout de suite. Les Pays-Bas et la Finlande ont coupé des sites publics avant même la sortie des correctifs, selon Reuters. En France, le ministère de l'Intérieur indique que les préfectures publient leurs informations sur les réseaux sociaux et par affichage.
Les internautes n'ont rien à faire : la correction se fait sur les serveurs. Les outils d'IA prennent une place croissante dans ce travail : la fondation fait vérifier les signalements par Daybreak Red, d'OpenAI. Plus tôt dans l'année, Claude Mythos, d'Anthropic, avait analysé le code de PHP. Les deux entreprises vendent aussi leurs propres outils de cybersécurité. En septembre, Plugin4Shell touchait les assistants Claude Code, Codex, Copilot et Gemini CLI.