Deux failles critiques dans PHP mettent des sites web hors ligne

Des agences publiques et des entreprises du monde entier ont mis leurs sites web hors ligne mercredi 21 octobre 2026, après la révélation de deux failles critiques dans PHP, un langage de programmation qui fait fonctionner environ 70 % des sites web du monde. Il ne s’agit pas d’une panne technique mais d’une coupure préventive, le temps d’installer les correctifs.

Les failles

L’équipe de sécurité de PHP a noté la gravité des deux vulnérabilités à 9,2 sur 10. Elles peuvent donner un accès direct au système de fichiers ou à la base de données d’un serveur, et permettre à des pirates de récupérer mots de passe, données de cartes bancaires ou coordonnées. Elles permettraient à un attaquant d’entrer dans un serveur « sans aucune autorisation, sans nom d’utilisateur ni mot de passe », explique Rahat Masood, de l’université de Nouvelle-Galles du Sud. Seuls les sites qui font tourner PHP sur leurs propres serveurs sont exposés : de nombreuses grandes plateformes reposent sur d’autres langages ou ont pu installer rapidement le correctif.

Une découverte assistée par l’IA

La société Calif a identifié l’une des failles en août, lors d’un audit de PHP financé par OpenAI, avec son modèle GPT-5.6 Sol. Wiz, filiale de Google, les a découvertes et signalées de son côté quelques semaines plus tard, avec l’aide de modèles dont Gemini 4 Argon et GPT-5.6 Sol. Wiz les qualifie de « parmi les vulnérabilités les plus graves découvertes dans PHP, et sans doute dans l’histoire du logiciel ». OpenAI y voit le signe d’une « nouvelle phase, où l’IA peut trouver des failles de sécurité à l’échelle d’internet ». Le nombre de vulnérabilités découvertes dans le monde en 2026 est en passe de doubler par rapport au record de l’an dernier.

Des détails fuités avant le correctif

Signalées en privé aux développeurs de PHP, les failles devaient rester confidentielles pendant la préparation du correctif. Des détails ont fuité mardi, un jour avant sa publication prévue, ce qui a déclenché la course à la mise hors ligne. Les développeurs ont publié des correctifs d’urgence mercredi. L’Agence nationale de sécurité américaine a demandé aux organisations de corriger immédiatement leurs sites ou de les déconnecter. « Si vous utilisez PHP, il est impératif de mettre à jour maintenant », a insisté la PHP Foundation. Un de ses ingénieurs, Volker Dusch, juge le problème le plus grave depuis plus de dix ans pour PHP et le compare à Heartbleed, la faille de 2014.

Des attaques déjà en cours

Le patron de Cloudflare, Matthew Prince, indique avoir vu des milliers de tentatives d’exploitation dans les dix heures précédant l’annonce publique, des dizaines de milliers dans les 45 minutes qui ont suivi, des centaines de milliers en deux heures, et désormais « des millions ». Amazon Threat Intelligence a détecté des tentatives, y compris avant la divulgation.

Qui a coupé ses sites

En France, des sites d’administrations locales, dont celui de la préfecture de police de Paris, ont été rendus inaccessibles à la demande de l’Agence nationale de la sécurité des systèmes d’information, indique le ministère de l’Intérieur. En Allemagne, le prestataire fédéral ITZBund a fermé plusieurs sites gouvernementaux, par précaution, sans incident de sécurité identifié. Des services publics sont aussi hors ligne aux Pays-Bas, en Finlande, au Royaume-Uni, en Australie et au Japon. En Suisse, les universités de Genève et de Fribourg, l’EPFL et le canton de Bâle-Ville étaient touchés jeudi matin. La Wikimedia Foundation a mis hors ligne plusieurs services de support. Des assureurs, des opérateurs de transport et des médias sont en maintenance d’urgence.

Le Premier ministre japonais a conseillé aux entreprises d’agir « avec une extrême urgence », et le gouvernement sud-coréen a donné la même consigne à ses services informatiques. Le Centre national de cybersécurité britannique demande d’identifier les systèmes vulnérables et de les mettre à jour dès que possible.