Score 9,2/10 : la faille PHP qui a suspendu impôts et préfectures

À 16 heures le 21 octobre 2026, un vent de panique a soufflé sur l'internet mondial. De nombreux sites web sont entrés en maintenance d'urgence après la découverte de deux failles critiques dans le langage de programmation PHP, suivie de la publication d'un correctif moins de 24 heures après la révélation, rapporte BFM Tech. Cette faille PHP permet de prendre le contrôle d'un serveur à distance, sans authentification, pour y injecter un logiciel malveillant.

La menace a été prise très au sérieux par la NSA, l'agence de renseignement américaine, et par les agences gouvernementales du monde entier. En France, à la demande de l'Anssi, plusieurs sites de ministères, de préfectures, mais aussi Météo-France ou le service des impôts ont été temporairement suspendus, certains peinant à revenir en ligne.

Une faille repérée dès le mois d'août

Les deux vulnérabilités affichaient un score de gravité de 9,2 sur 10 sur l'échelle CVSS, selon Le Progrès. Repérée en amont dès le mois d'août, la faille a pu être rapidement corrigée grâce à l'intervention de deux sociétés californiennes, Calif et Wiz, qui se sont appuyées sur des modèles d'intelligence artificielle, GPT-5.6 Sol d'OpenAI pour la première, un mélange de Gemini 4 Argon et de GPT-5.6 Sol pour la seconde, précise BFM Tech.

« Cette faille très critique affichait un score de gravité de 9,2/10 (sur l'échelle CVSS 4.0, NDLR), c'était vraiment très grave », Coralie Delpha, ingénieure en solutions clients chez Railblocks.

"70% des sites web utilisent PHP, tout simplement parce que c'est un langage de programmation très populaire, qui existe depuis 30 ans", explique à BFM Tech Coralie Delpha, ingénieure en solutions clients chez Railblocks. WordPress, qui tourne sur ce langage, représente à lui seul plus de 40% de parts de marché mondial, un terrain de jeu idéal pour les pirates.

Des millions de tentatives d'exploitation en quelques heures

Le correctif publié mercredi 21 octobre ne couvre que les versions 8.2 à 8.5 de PHP. Près de 40% des sites fonctionnant sous ce langage n'étaient pas encore passés à ces versions récentes, selon BFM Tech, et une partie d'entre eux ne recevra jamais de correctif officiel.

« Ce chiffre est passé à des dizaines de milliers au cours des 45 minutes suivant l'annonce, puis à des centaines de milliers en deux heures, et atteint désormais des millions », Matthew Prince, PDG de Cloudflare.

Le fournisseur de services cloud Cloudflare a observé des millions de tentatives d'exploitation dans les heures suivant la divulgation publique de la faille. Palo Alto Networks recensait de son côté plus de 22 millions d'instances PHP potentiellement vulnérables dans le monde, selon franceinfo.

Les services publics français paralysés

La mise hors ligne soudaine a paralysé des services publics essentiels. Il est difficile à ce stade de chiffrer l'impact global, mais de nombreux internautes n'ont pu accéder à leurs revenus, récupérer des informations sur Ameli.fr ou déposer une plainte en ligne, selon BFM Tech. Avant que la raison de ces maintenances soit annoncée, le spectre d'une cyberattaque d'ampleur a plané, rappelant l'incident survenu à la Direction générale des Finances publiques durant l'été 2026. Aucun des sites concernés n'avait pourtant signalé d'intrusion.

La Commission européenne, l'Enisa, le CERT-EU, Europol et le réseau des équipes nationales de réponse aux incidents cyber de l'UE ont publié une déclaration commune appelant les organisations à agir sans délai, en donnant la priorité aux systèmes exposés sur internet, rapporte Euronews. Le ministère chinois de l'Industrie a de son côté exhorté les organisations à inspecter leurs systèmes et à changer leurs comptes, mots de passe et clés si nécessaire.

Une vigilance qui doit se prolonger

Même les sites ayant appliqué le correctif ne sont pas totalement à l'abri si des interfaces tierces tournent elles aussi sous PHP.

« alors même si vous avez corrigé votre propre système, vous restez vulnérable », Rahat Masood, maître de conférences en cybersécurité, université de Nouvelle-Galles du Sud.

Certains hébergeurs, comme OVH, ont déployé le correctif dès qu'il a été rendu disponible, avant même que leurs clients n'agissent, selon BFM Tech. "Toutes les mises à jour sont indispensables", rappelle Coralie Delpha, qui conseille aussi de désinstaller les extensions obsolètes et d'activer la double authentification. Les versions non maintenues de PHP, de la 5.x à la 8.1.x, encore utilisées par une part significative de sites, restent exposées, même si la fondation PHP a publié des correctifs minimaux pour les versions 7.4, 8.0 et 8.1 destinés aux organisations qui compilent elles-mêmes le langage.