Mercredi 21 octobre 2026, l’État a lui-même éteint une partie de ses sites internet : préfectures, ministère de l’Économie, Météo-France. En cause, une faille découverte dans un logiciel qui fait tourner la majorité des sites web, dont très probablement celui de votre commune.

Ce qui s’est passé

Imaginez que sept immeubles sur dix en France soient équipés du même modèle de digicode. On découvre qu’en tapant une certaine suite de touches, n’importe qui peut entrer, sans badge ni code. Et une fois à l’intérieur, l’intrus n’est pas seulement dans le hall : il a accès au local technique, peut ouvrir le courrier des habitants et remplacer les affiches de l’entrée par les siennes.

C’est ce qui est arrivé au logiciel PHP, le « digicode » invisible d’environ 70 % des sites web, dont la plupart des sites faits avec WordPress, très répandu dans les collectivités. Deux failles notées 9,2 sur 10, baptisées PHP2Shell, permettent à un inconnu de prendre la main sur le serveur d’un site sans aucun mot de passe.

Le fabricant a publié un correctif le 21 octobre à 16 heures, l’équivalent d’un nouveau boîtier. Mais trois problèmes demeurent :

• chaque propriétaire doit le faire poser : le correctif ne s’installe pas tout seul, c’est l’hébergeur ou le prestataire du site qui doit agir ;
• dès que le nouveau boîtier est connu, les cambrioleurs comprennent comment ouvrir l’ancien : selon des experts, l’intelligence artificielle permet désormais de fabriquer une attaque en moins d’une heure à partir du correctif ;
• les modèles anciens ne seront pas remplacés : seules les versions récentes de PHP reçoivent le correctif, alors qu’environ la moitié des sites tournent sur des versions plus anciennes.

D’où la décision de l’ANSSI, l’agence nationale de la sécurité informatique : plutôt que de laisser la porte ouverte, le ministère de l’Intérieur a fermé ses sites le temps de poser le nouveau boîtier. La Belgique, les Pays-Bas, la Finlande ou l’Australie ont fait de même. Au Japon, la Première ministre Sanae Takaichi a lancé ce soir un appel très urgent à vérifier les sites et à appliquer le correctif, en recommandant de suspendre temporairement un site si la mise à jour ne peut pas être faite rapidement. Ironie de l’histoire, la faille a été trouvée par des chercheurs aidés d’une IA d’OpenAI : la même technologie sert à la défense comme à l’attaque. Le hacker éthique SaxX résumait l’inquiétude des spécialistes : « Vous ne vous rendez pas compte des dégâts considérables à venir ».

En conclusion

PHP2Shell montre qu’un seul logiciel, utilisé partout, peut faire taire en un après-midi les canaux d’information de l’État et des collectivités. Pour les élus locaux, la question devient très concrète : que faire quand le site de la commune est concerné ? C’est l’objet de notre second article, « Crise cyber : vous êtes maire, que faire ? ».

Sources

• franceinfo – Préfectures, médias, impôts : pourquoi de nombreux sites internet sont inaccessibles
• France 3 PACA – Police, université, Météo-France : pourquoi de nombreux sites sont en panne
• The Record – Hundreds of websites taken offline
• The National – Websites go offline amid critical security update
• Jiji Press / Nippon.com – Japan PM Warns of Vulnerabilities in PHP
• Message de Sanae Takaichi sur X
• Websource – CVE-2026-109618 : ce que l’on sait
• Hackread – PHP Releases Emergency Fixes
• Greg Brockman (OpenAI) sur X
• FourWeekMBA – Part de PHP selon W3Techs
• Silicon UK – OpenAI models escaped sandbox
• Tweet de SaxX (@_SaxX_), 21 octobre 2026