Des sites publics français, allemands, néerlandais et finlandais ont été temporairement mis hors ligne après la découverte de deux vulnérabilités critiques dans PHP. Les correctifs sont désormais disponibles, mais l’alerte dépasse les administrations européennes : cette technologie est utilisée par une grande partie du Web, notamment par WordPress. Les propriétaires de sites doivent vérifier leurs installations et appliquer les mises à jour adaptées.
Pressé ? Obtenez l'essentiel, ou écoutez l'article.
Une alerte qui dépasse largement la France
Le 21 octobre 2026, plusieurs sites institutionnels sont devenus inaccessibles en Europe. En France, les sites des impôts, de Météo-France, de la préfecture de police et de nombreuses préfectures ont notamment été concernés. En Allemagne, plusieurs sites gérés par le prestataire informatique fédéral ITZBund ont également été désactivés par précaution.
Les Pays-Bas ont connu des perturbations plus larges. Parmi les services concernés figuraient le portail gouvernemental Overheid.nl, des sites de partis politiques, le Port de Rotterdam et plusieurs établissements hospitaliers. En Finlande, le centre informatique de l’État a également suspendu des services web publics. La Fondation Wikimedia a, de son côté, annoncé avoir désactivé certains systèmes en attendant leur sécurisation.
Ces décisions répondent à une même préoccupation : éviter qu’une faille logicielle critique ne permette à des attaquants de compromettre des serveurs exposés à Internet. Selon Reuters, les mesures prises dans plusieurs pays étaient préventives. Les autorités finlandaises ont notamment indiqué ne pas avoir identifié de tentative d’exploitation ni de fuite de données au moment de leur communication.
Le phénomène n’est donc pas une panne limitée à la France. Il s’agit d’une alerte de sécurité qui concerne les organisations utilisant des installations vulnérables de PHP à travers le monde.
Deux vulnérabilités classées critiques
PHP est un langage de programmation utilisé pour faire fonctionner des sites et des applications web. Il intervient notamment dans le traitement des requêtes, la génération des pages dynamiques et les échanges avec les bases de données. Il constitue aussi l’une des principales technologies sur lesquelles reposent des systèmes de gestion de contenu comme WordPress, Drupal, Joomla et Magento.
Le 20 octobre, l’équipe de développement de PHP a annoncé la publication prochaine de correctifs pour deux vulnérabilités critiques. Les failles ont été évaluées à 9,2 sur 10 sur l’échelle de gravité CVSS v4.0. Le lendemain, les versions corrigées ont été publiées. Les vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, peuvent permettre l’exécution de code à distance sans authentification sur les installations concernées. Selon la configuration du serveur, une exploitation pourrait donner à un attaquant la possibilité d’exécuter des commandes, d’accéder à des fichiers ou de compromettre des ressources informatiques.
Le risque est suffisamment sérieux pour justifier des mesures immédiates. Le CERT-EU, l’équipe européenne de réponse aux incidents de cybersécurité, recommande de corriger les installations concernées sans délai. Lorsque la mise à jour ne peut pas être appliquée immédiatement, l’organisme préconise d’isoler les applications accessibles depuis Internet jusqu’à ce que le problème soit corrigé.
Les correctifs sont disponibles. Le risque n’a pas disparu pour autant
Les développeurs de PHP ont publié des versions corrigées pour plusieurs branches maintenues : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les administrateurs doivent vérifier la version effectivement utilisée par leur serveur et appliquer le correctif correspondant, ou suivre les consignes de leur fournisseur de système et d’hébergement.
La disponibilité d’un correctif ne signifie pas que tous les sites sont désormais protégés. Certains hébergeurs doivent encore déployer les mises à jour dans leurs environnements. D’autres sites fonctionnent sur des versions anciennes qui ne bénéficient plus du support officiel de PHP. Leur situation exige une vérification particulière auprès de l’hébergeur ou de l’administrateur technique.
Le calendrier est également important. Une fois les détails techniques rendus publics, des attaquants peuvent chercher à reproduire les mécanismes d’exploitation pour cibler les serveurs qui n’ont pas encore été corrigés. Le CERT-EU a signalé la circulation de premières preuves de concept, ce qui renforce l’urgence des mises à jour.
Les organisations ne doivent donc pas se contenter de constater que leur site reste accessible. Elles doivent vérifier la version de PHP, confirmer que le correctif a été installé et examiner leurs journaux techniques afin de détecter d’éventuelles activités suspectes.
WordPress est-il concerné ?
La question touche directement les entreprises, les médias, les associations et les institutions qui utilisent WordPress. Cette plateforme repose sur PHP pour exécuter une grande partie de ses fonctionnalités. Un site WordPress peut donc être exposé si l’environnement PHP qui le fait fonctionner utilise une version vulnérable.
Cela ne signifie pas que WordPress lui-même est nécessairement à l’origine de la faille, ni que tous les sites construits avec cette plateforme sont automatiquement compromis. La vulnérabilité se situe dans le langage et dans certaines installations de celui-ci. Le niveau de risque dépend notamment de la version exécutée, de la configuration du serveur et des protections mises en place.
Les propriétaires de sites doivent commencer par demander à leur hébergeur quelle version de PHP est utilisée en production et si les correctifs de sécurité ont été appliqués. Ils doivent également vérifier la compatibilité de leur site avec une version corrigée, maintenir WordPress, ses extensions et ses thèmes à jour, et disposer d’une sauvegarde récente qui puisse être restaurée.
Une autre distinction est essentielle : un problème technique constaté sur un site WordPress ne prouve pas qu’il est causé par cette vulnérabilité. Des difficultés à téléverser des images ou des fichiers multimédias peuvent, par exemple, provenir des limites de taille des fichiers, des permissions du serveur, d’un espace de stockage saturé, d’une extension défaillante ou d’une configuration du serveur web. Le diagnostic doit identifier la cause avant toute intervention.
Une leçon pour les sites web en Afrique aussi
Les perturbations observées en Europe ne signifient pas que les sites africains sont tous affectés. Elles montrent toutefois que la même alerte technique peut concerner des organisations situées dans des pays différents dès lors qu’elles utilisent des versions vulnérables du même logiciel.
Les médias en ligne, les entreprises, les universités, les administrations et les associations qui s’appuient sur WordPress ou d’autres plateformes utilisant PHP ont donc intérêt à vérifier leur environnement technique. Cette démarche est particulièrement importante lorsque la maintenance est confiée à un prestataire ou incluse dans une offre d’hébergement : le propriétaire du site ne dispose pas toujours d’une visibilité directe sur la version de PHP réellement exécutée.
La responsabilité se partage entre les développeurs qui publient les correctifs, les hébergeurs qui gèrent les serveurs et les administrateurs qui doivent vérifier que les mises à jour sont bien appliquées. Aucun site ne peut garantir une sécurité absolue, mais une maintenance régulière réduit les risques liés aux vulnérabilités connues.
Cette affaire rappelle enfin que la disponibilité d’un site ne suffit pas à mesurer son état de sécurité. Un site peut rester accessible tout en exécutant une version vulnérable. À l’inverse, une mise hors ligne préventive peut être le signe d’une réaction prudente plutôt que celui d’une attaque réussie.
Le véritable enjeu, pour les organisations du monde entier, est désormais de vérifier leurs installations, d’appliquer les correctifs et de s’assurer que leurs systèmes n’ont pas été compromis avant leur remise en service.
