Failles PHP et panne Internet : Impots.gouv, Météo France, préfectures… Un risque d’attaque massive évoqué, les sites touchés sont nombreux
Une panne a frappé plusieurs sites internet après la découverte de failles “critiques” dans le langage informatique PHP. Suivez les dernières infos.
22:08 – Pourquoi de nombreux sites internet sont en maintenance ce mercredi ?
À la suite de la publication du correctif, les sites et plateformes utilisant le PHP ont découvert que le risque qu’ils encouraient d’ici à ce qu’ils mettent en place les fameux correctifs était particulièrement élevé (9,2/10). Résultat, pour protéger sites et plateformes, de nombreux administrateurs ont volontairement désactivé ces derniers ou les ont passé en mode “maintenance”. L’objectif était de ne pas se faire hacker par des personnes malveillantes qui auraient sauté sur l’opportunité.
21:47 – La faille “CVE-2026-109619” : des restes qui n’auraient pas dû rester
La faille “CVE-2026-109619” est sensiblement différente. Ici, il faut savoir qu’un serveur web traite des milliers de requêtes à la suite, souvent avec les mêmes ressources internes. Normalement, entre deux requêtes, tout est remis à zéro : la mémoire est nettoyée, les données de l’utilisateur précédent effacées. Ici, ce nettoyage ne se fait pas correctement — des informations de la requête précédente subsistent en mémoire. La requête suivante tombe dessus et les utilise sans le savoir. Un attaquant peut exploiter cette faille pour faire exécuter au serveur du code qu’il n’aurait jamais dû accepter.
21:18 – La faille PHP “CVE-2026-109618” expliquée : une interruption au mauvais moment
Les failles PHP aillant provoqué la panique sur internet sont particulièrement techniques. La première répertoriée sous la référence “CVE-2026-109618” touche la réponse des serveurs aux requêtes des internautes. En clair, quand vous visitez un site web, le serveur commence à préparer une réponse à votre demande — il alloue de la mémoire, met en place des données internes. Avec cette faille, un attaquant peut provoquer une surcharge qui interrompt ce processus en plein milieu. Le problème, c’est que le serveur ne repart pas de zéro : il continue avec des données à moitié prêtes, incomplètes ou corrompues, en les traitant comme si elles étaient parfaitement valides. Un attaquant peut donc exploiter ce moment de confusion pour glisser ses propres instructions malveillantes.
20:58 – Ce que permettent techniquement les failles PHP détectées
Les deux failles principales détectées ont deux noms barbares. CVE-2026-109618 exploite une condition de dépassement mémoire capable d’interrompre PHP alors que les données d’une requête ne sont qu’à moitié initialisées. CVE-2026-109619, elle, concerne un état interne lié à une requête qui peut persister après que la mémoire associée a été libérée. Concrètement, quand un serveur web reçoit une demande d’un visiteur, il prépare une réponse en mobilisant de la mémoire et des données internes. Les deux failles exploitent des défauts dans cette mécanique : la première permet à un attaquant de provoquer une surcharge qui interrompt le serveur en pleine préparation, le poussant à continuer avec des données incomplètes et corrompues ; la seconde profite d’un mauvais nettoyage de la mémoire entre deux requêtes, laissant des résidus d’une session précédente accessibles à la suivante. Dans les deux cas, un inconnu sans mot de passe ni compte peut exploiter cette désorganisation pour envoyer des instructions malveillantes et prendre le contrôle du serveur.
20:29 – Où trouver les correctifs PHP ?
PHP a rendu disponibles des correctifs visant à permettre aux sites et plateformes qui utilisent ce langage à ne plus craindre les vulnérabilités détectées il y a quelques semaines par l’IA. Ils sont à retrouver par ici depuis 16 heures, cet après-midi.
20:16 – Une vulnérabilité de 9,2/10
PHP a mis en place un correctif pour rectifier les failles décelées cet été. Faute de mise à jour, le site, la plateforme ou le service peut faire l’objet d’une cyberattaques, qui peut aboutir à un vol de données, à du déphasing (qui peut conduire à la disparition même du site)… PHP estime cette vulnérabilité de 9,2/10. Il a donc été vivement conseillé à tout un chacun de se mettre à jour.
19:51 – Pourquoi la panne liée aux failles PHP affectent autant de sites informatiques ?
Le langage de programmation PHP est utilisé par une large partie du web : 70% des sites en disposent, relaie BFMTV. “PHP est omniprésent. Il fait discrètement fonctionner les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ne mentionnent même pas qu’ils utilisent PHP en arrière-plan”, explique l’entreprise de cybersécurité Huntress. De quoi expliquer l’ampleur de la panne.
19:37 – Le site des impôts toujours en maintenance
Si le site de Météo-France refonctionne à nouveau normalement, ce n’est toujours pas le cas du site des impôts. “Le site impots.gouv.fr est actuellement en maintenance. Durant cette intervention, vous ne pouvez pas consulter la documentation et les actualités, ni télécharger de formulaire. Cependant, vous pouvez toujours accéder à votre espace Finances publiques ainsi qu’à l’ensemble des services en ligne à l’aide des liens proposés ci-dessous”, peut-on lire.
19:27 – Le site de Météo-France refonctionne
Figurant parmi les victimes de la panne internet PHP, le site Météo-France apparaît à nouveau opérationnel selon notre test réalisé peu après 19h25. Tout semble à nouveau fonctionner comme si de rien n’était.
19:11 – Des attaques repérées ce mercredi
Selon le directeur technique de la société de sécurité web et cloud Cloudflare, Dane Knecht, un post sur X indiquait ce mercredi que plusieurs attaques exploitant les vulnérabilités découvertes par l’IA en août étaient exploitées au lendemain des révélations du site spécialisé Hacker News.
18:56 – Cette révélation qui a conduit à avancer la mise en place du correctif
Aurait-on pu éviter une panne Internet PHP comme celle que l’on connaît actuellement ? La question peut se poser, car selon The Wall Street Journal, alors que la découverte de vulnérabilités a été faite par l’Intelligence artificielle dès le mois d’août, une grande correction était initialement prévue ce jeudi 22 octobre. Or, l’information a fuité. Le site Hacker News a révélé au grand jour les vulnérabilités, laissant champs libres aux éventuelles hackers malveillants pour passer à l’action avant la mise en place du correctif ce qui a, de fait, précipité son déploiement. Cela a-t-il engendré le chaos que l’on connaît ou la situation aurait été la même jeudi ? Une chose est sûre, cela n’a pas dû aider.
18:40 – Les sites des préfectures rétablis ?
Après avoir effectué un test de notre côté, nous constatons toujours que les sites des préfectures restent inaccessibles. Que ce soit sur le site de la préfecture de la Loire ou de celle du Val-d’Oise, un message écrit en noir sur blanc s’affiche : “Maintenance en cours. Notre site sera à nouveau accessibles d’ici quelques instants”, promet-on, avant d’inviter à se tourner vers les réseaux sociaux
18:25 – Le scénario d’un “ver informatique” est-elle sérieuse ?
Dans le pire des scénarios, les chercheurs évoquent la possibilité d’un “ver informatique”, c’est-à-dire un programme malveillant capable de se propager automatiquement de serveur en serveur, à une échelle qui pourrait affecter de larges pans d’internet en un temps très court. Il est actuellement trop tôt pour savoir si cette menace est à prendre réellement au sérieux.
18:22 – La panne d’Orange en France n’est pas liée aux failles PHP
Selon les informations de BFMTV, la panne des opérateurs français comme Orange, Sosh, Bouygues ou SFR actuellement n’est pas liée aux failles PHP et le scénario de la cyberattaque n’est pas privilégié.
18:20 – Des millions de données personnelles potentiellement exposées
Pour un utilisateur ordinaire, cela signifie concrètement que ses identifiants, ses données personnelles ou ses informations de paiement stockées ou transitant par un site vulnérable peuvent être interceptés, sans qu’il ne fasse quoi que ce soit de mal et sans même s’en apercevoir. PHP étant le socle technique de plateformes très répandues comme WordPress, Drupal ou Magento — qui propulsent des millions de sites de commerce, de presse ou de services publics — la surface d’exposition est considérable.
18:16 – Quel risque pour les utilisateurs des sites Web concernés ?
Pour les organisations qui font tourner des sites web, les conséquences des failles PHP peuvent être dévastatrices : un attaquant qui prendrait le contrôle d’un serveur pourrait y installer des logiciels malveillants ou mettre le site entièrement hors ligne. Mais le danger ne s’arrête pas aux portes du serveur : la mémoire qu’un attaquant peut lire contient potentiellement des mots de passe, des clés d’accès et des tokens d’authentification appartenant à d’autres utilisateurs connectés au même moment.
18:10 – Le risque : une panne d’internet mondiale et une attaque massive avec des consqéuences
Dans les deux cas, le résultat des failles PHP faisant trembler internet ce mercredi est le même : un inconnu, sans mot de passe ni compte, peut envoyer un message spécialement conçu à un site web et prendre le contrôle du serveur qui le fait tourner. C’est comme si une faille dans la structure d’un bâtiment permettait à n’importe qui d’entrer et de faire ce qu’il veut à l’intérieur, sans jamais avoir eu de clé. La conséquence peut aller jusqu’à une attaque massive et à des effets pouvant toucher les utilisateurs.
17:58 – Le FBI appelle à signaler toute trace de compromission
Brett Leatherman, directeur adjoint cyber du FBI, a pris la parole publiquement pour guider les organisations face à la menace. “Si vous trouvez des signes de compromission, isolez le système, conservez vos journaux de serveur web et PHP, et signalez-le à votre bureau local du FBI”, a-t-il écrit en ligne. Il précise que “ces signalements nous aident à identifier les acteurs impliqués et à avertir d’autres organisations avant qu’elles ne deviennent des victimes.”
17:54 – Ce que les organisations doivent faire concrètement
Le NCSC recommande en priorité d’identifier tous les systèmes faisant tourner PHP au sein de l’infrastructure, en accordant une attention particulière à ceux exposés à internet. Il faut ensuite appliquer les mises à jour disponibles et surveiller en continu les annonces des éditeurs de logiciels tiers susceptibles d’embarquer PHP dans leurs produits ou services. Si une mise à jour immédiate est impossible, le NCSC conseille d’évaluer si le système a déjà pu être compromis avant d’engager la correction, et de faire appel à un prestataire de réponse à incident si nécessaire.
17:51 – Les recommandations des agences nationales de cybersécurité
Côté utilisateur, aucun message de prévention n’a a ce stade été communiqué. Les recommandations concernent les gestionnaires et éditeurs de sites. Le NCSC britannique, ainsi que ses homologues européens et australiens, ont exhorté les organisations à appliquer les mises à jour le plus rapidement possible. “Lorsqu’une remédiation immédiate n’est pas faisable, les organisations devraient envisager de mettre le système hors ligne jusqu’à ce qu’il puisse être entièrement corrigé”, a précisé le NCSC. La PHP Foundation est catégorique de son côté : “Il n’existe pas de mitigation complète, la mise à jour est le seul choix sûr.”
17:47 – Des failles découvertes grâce à l’intelligence artificielle
Les vulnérabilités ont été identifiées par des chercheurs des sociétés Wiz et Calif, ainsi que par l’équipe Codex Security d’OpenAI, en partie grâce à des outils d’IA. Wiz les décrit comme “les vulnérabilités les plus graves jamais découvertes” par cette technologie, tandis qu’OpenAI a qualifié la découverte de “l’un des problèmes de sécurité les plus marquants en mémoire récente.” Selon les chercheurs, ces failles étaient présentes dans le code PHP depuis plus d’une décennie sans avoir été détectées.
17:43 – Une mobilisation internationale des agences de cybersécurité
Les agences de cybersécurité de nombreux pays ont haussé le ton pour alerter les administrateurs de sites. Le CERT-EU, la NSA américaine, ainsi que les agences britannique, japonaise et australienne ont toutes exhorté les utilisateurs à appliquer immédiatement les mises à jour ou à couper leurs sites du réseau public. Le CERT-EU a recommandé aux organisations d'”envisager d’isoler les applications exposées à internet des réseaux publics jusqu’à ce qu’un correctif soit disponible.”
17:39 – Dans le monde entier, des sites gouvernementaux et grands médias mis hors ligne par précaution
Avant même la disponibilité des mises à jour, plusieurs organisations ont préféré couper leurs services en ligne par mesure préventive. Les services web publics du gouvernement finlandais ont été temporairement suspendus, tandis qu’aux Pays-Bas, le site du Parlement (Tweede Kamer), celui de l’agence nationale de santé publique et plusieurs systèmes d’éducation sont devenus inaccessibles. Au Royaume-Uni, le site du conseil d’Édimbourg ainsi que plusieurs pages de la BBC — dont celles consacrées à Doctor Who et The Traitors — ont été rendus indisponibles, sans que ces organisations n’aient officiellement confirmé de lien avec PHP. Pinboard, des pans entiers de Wikipedia, ainsi que les forums 4Chan et Something Awful ont aussi été bloqués.
17:35 – Des tentatives d’attaques signalées avant même la publication des correctifs
La société Cloudflare a rapporté observer “des premières attaques émerger” avant même la publication officielle des détails et des correctifs par la PHP Foundation. La firme de sécurité Sansec avait prévenu en amont qu'”on s’attend à ce que des attaques massives démarrent dans les 15 minutes suivant la publication.” Aucune intrusion réussie n’avait toutefois été confirmée au moment de la parution des articles, et les deux failles ne figuraient pas encore dans le catalogue des vulnérabilités connues exploitées de la CISA, la Cybersecurity and Infrastructure Security Agency, agence fédérale américaine rattachée au Département de la Sécurité intérieure.
17:31 – Une divulgation des failles PHP anticipée par une fuite
Selon le Wall Street Journal, ce sont des outils d’intelligence artificielle de pointe qui ont permis de détecter les vulnérabilités de PHP dès le mois d’août. Un correctif avait initialement été planifié pour le jeudi 22 octobre, mais la publication d’un post les révélant sur le site spécialisé Hacker News, deux jours avant la date prévue, a forcé une mise en ligne anticipée du patch. C’est donc cette divulgation prématurée qui a déclenché la course contre la montre entre attaquants et administrateurs de sites. Cette fuite a en effet permis à des attaquants de prendre de l’avance sur les équipes de sécurité, et l’incident a rapidement été surnommé “PHP2Shell” dans la communauté.
LIRE PLUS
La panne constatée sur de nombreux sites internet en France et dans le monde ce mercredi 21 octobre 2026 est liée à des mesures de précaution prises par les éditeurs et gestionnaires des sites après la découverte de failles dans le langage informatique PHP, utilisé par près de 70% des sites internet. Deux failles CVE (pour “Common Vulnerabilities and Exposures”) ont été détectées et référencées dès le mois d’août par l’organisation américaine MITRE Corporation, sous l’égide du gouvernement américain :
Ces failles ont fait l’objet de fuites sur le Web avant toute communication officielle, faisant courir le risque d’attaques massives. Le directeur technique de la société Cloudflare, spécialisée dans la sécurité Web et le cloud, a indiqué dans un message publié mercredi sur le réseau social X, que des attaques exploitant ces vulnérabilités avaient déjà débuté.
Face au risque d’attaque informatique, de nombreuses organisations ont donc décidé préventivement de mettre leurs sites en maintenance ou de les rendre inaccessibles mercredi 21 octobre 2026. A l’échelle mondiale, les sites concernés sont nombreux et difficiles à recenser. En France, de nombreux sites institutionnels ont été rendus inaccessibles, comme les sites de la Préfecture de Police, des préfectures à l’initiative du ministère de l’Intérieur, le site Impots.gouv, le site de Météo France ou celui de la Cnil. Certains titres de presse (Le Parisien, Les Echos) et des forums comme 4Chan sont aussi concernés.
Pour les gestionnaires de sites comme pour les utilisateurs ordinaires, les conséquences de ce type de failles PHP peuvent être lourdes : un attaquant ayant pris le contrôle d’un serveur peut y installer des logiciels malveillants, mettre le site hors ligne, mais aussi lire la mémoire du serveur, qui contient potentiellement des mots de passe, des clés d’accès et des données personnelles ou bancaires d’utilisateurs connectés au même moment. PHP étant le socle technique de plateformes très répandues comme WordPress, Drupal ou Magento, qui propulsent des millions de sites de commerce, de presse ou de services publics, la surface d’exposition est considérable, comme la quantité de données potentiellement récupérée et les piratages possibles par la suite.
