Plusieurs sites de préfectures et certaines rubriques du portail des impôts sont inaccessibles ce mercredi 21 octobre 2026. Ces interruptions interviennent après la découverte de deux failles de sécurité critiques dans PHP, un langage informatique utilisé par de nombreux sites web. À la demande de l’Agence nationale de la sécurité des systèmes d’information (Anssi), le ministère de l’Intérieur a mis ses sites en maintenance préventive en raison d’une vulnérabilité critique affectant un composant logiciel largement utilisé.
Sites inaccessibles : deux failles critiques découvertes dans PHP
PHP est un langage de programmation utilisé pour développer des sites internet et des applications web. Il intervient dans le fonctionnement de nombreuses plateformes, y compris certains services institutionnels.
Le mardi 20 octobre 2026, l’équipe de développement de PHP a annoncé la publication prochaine de correctifs destinés à résoudre deux vulnérabilités critiques. Le risque identifié est particulièrement important : selon les avis de sécurité publiés par le projet, ces failles pourraient permettre à un attaquant d’exécuter du code à distance sans avoir besoin de s’authentifier au préalable. Autrement dit, un serveur utilisant une version vulnérable pourrait être exposé à une tentative de prise de contrôle à distance, sous certaines conditions techniques.
Le CERT-FR, le centre gouvernemental français de veille, d’alerte et de réponse aux attaques informatiques, a publié une alerte le 21 octobre. Celle-ci indique que les vulnérabilités peuvent affecter les versions de PHP depuis la branche 5.x jusqu’aux versions 8.x.
Face à ce risque, les organismes chargés de la sécurité informatique ont recommandé aux administrateurs de préparer l’installation des correctifs et, lorsque la mise à jour immédiate n’est pas possible, d’envisager des mesures d’isolement des systèmes exposés.
Des correctifs publiés le 21 octobre
L’équipe de PHP a annoncé la disponibilité des versions corrigées le mercredi 21 octobre 2026. Les versions indiquées dans son avis de sécurité sont les suivantes :
- PHP 8.5.12 ;
- PHP 8.4.27 ;
- PHP 8.3.36 ;
- PHP 8.2.35.
Les administrateurs des serveurs concernés sont invités à installer rapidement les mises à jour adaptées à leur environnement. Les systèmes qui utilisent une version ancienne et qui ne bénéficie plus du support de PHP nécessitent une attention particulière. Selon la configuration et le fournisseur utilisé, une mise à jour spécifique ou une migration vers une version maintenue peut être nécessaire.
Les informations officielles et les téléchargements sont disponibles sur le site de PHP. Le bulletin du CERT-FR détaille également les versions concernées et les recommandations de sécurité.
Il est important de préciser que la publication de ces correctifs ne signifie pas que tous les sites utilisant PHP ont été piratés. Une vulnérabilité représente un risque potentiel qui doit être corrigé. Elle ne constitue pas, à elle seule, la preuve d’une intrusion.
D’un naturel curieux, aimant écrire et féru d’actualité, je me suis rapidement orienté vers la rédaction web. Après un détour par la PQR (presse quotidienne régionale), me voici désormais sur démarches administratives, avec toujours la même envie : celle de vous informer le mieux possible.