France 21/10/2026 18:33 Actualisé le 21/10/2026 20:01

Une faille dans le langage de programmation informatique (PHP) a conduit plusieurs sites à bloquer leur accès afin de ne prendre aucun risque.

Par Sarah Coulet avec AFP

« Ce site est inaccessible » ; « Site en maintenance »... Ce mercredi 21 octobre, dans l’après-midi, les sites de plusieurs institutions et de médias sont devenus inaccessibles. Cela fait suite à une « détection d’une vulnérabilité critique de sécurité », a expliqué le ministère de l’Intérieur.

« À la demande de l’Anssi, le ministère de l’Intérieur a procédé à la mise en maintenance préventive de l’ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité, annoncée il y a quelques heures par l’éditeur d’un composant logiciel générique, largement utilisé à travers le monde », a ajouté le ministère. Le risque ? Des cyberattaques et donc des vols de données voire une compromission complète du site.

L’alerte a été déclenchée par le centre de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) après la découverte de failles concernant PHP, un langage de programmation utilisé sur une grande partie du web, près de 70 % des sites selon BFM.

Tous les sites des préfectures et notamment celle de la Préfecture de Police de Paris, sont inaccessibles. « Les équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais, dès que le correctif de sécurité sera rendu disponible par l’éditeur », a poursuivi le ministère. Dans cette attente, « les publications des préfectures seront faites sur les réseaux sociaux et par voie d’affichage », a conclu Beauvau.

Au-delà des préfectures, d’autres sites sont donc momentanément hors d’accès des internautes : Météo-France qui évoque sur les réseaux sociaux une « mesure de précaution » après « deux vulnérabilités critiques concernant PHP ».

Le site des impôts est dans la même situation, tout comme celui de certains médias, dont Les Échos ou Challenges.

À l’heure de l’intelligence artificielle, ce type de brèche prend une autre dimension. « L’exploitation d’une telle faille prenait plusieurs jours après sa découverte, mais avec l’intelligence artificielle, tout s’accélère et il ne faut qu’une minute pour développer une attaque », explique dans Le Parisien Guillaume Vassault-Houlière, fondateur et PDG de YesWeHack. Paradoxalement, c’est grâce à l’IA que la faille a pu être détectée.

OpenAI a expliqué dans un message publié sur son site que celles-ci ont été trouvées par l’entreprise de sécurité informatique Calif en utilisant l’un de ses modèles les plus récents, GPT-5.6 Sol. « Compte tenu de leur gravité et de la large diffusion de PHP, nous considérons ceci comme l’un des problèmes de sécurité (informatique) avec le plus gros impact, de mémoire récente. »

Outre Calif, la société de cybersécurité Wiz, filiale de Google, a également mis, de son côté, le doigt sur ces lacunes, sans préciser quels modèles elle avait utilisés.

Aucune raison de paniquer cependant, d’autant plus que « des correctifs de sécurité » ont été annoncés par l’éditeur pour ce 21 octobre 2026 à 16h00 heure de Paris. Pour ne prendre aucun risque, le CERT-FR recommande « d’isoler les équipements affectés » et d’effectuer la mise à jour dès que possible. Une opération qui peut prendre un certain temps.

Il faudra attendre quelques heures, peut-être même quelques jours, pour savoir si des données ont eu le temps de fuiter ou non.

La France n’est pas le seul pays qui a été touché : en Finlande, le portail internet du gouvernement a indiqué que « les sites Internet du gouvernement (étaient) totalement ou partiellement indisponibles ». Des plateformes de service public et de collectivités ont également été mises hors ligne au Royaume-Uni, en Allemagne, au Danemark, aux Pays-Bas et en Belgique.

Le spécialiste de cybersécurité Palo Alto Networks a indiqué avoir identifié 22 millions de plateformes exposées à ces vulnérabilités.