Cybersécurité
Préfectures, impôts, Météo-France coupés : deux failles de PHP trouvées avec l'IA
Par la rédaction · · 2 min de lecture · ▶ 58 s
L'essentiel
- Le 21 octobre 2026, les sites des préfectures ont été coupés à la demande de l'Anssi, par précaution.[1]
- En cause, deux failles critiques dans PHP, un langage qui fait fonctionner jusqu'à 70 % des sites dans le monde selon le Wall Street Journal.[1]
- La société Calif les a découvertes à l'aide d'un modèle d'OpenAI, et Wiz les a aussi identifiées.[1]
- Plus de 600 000 serveurs utilisent ce dispositif en France, selon l'Anssi.[2]
Ce qui s'est passé
Le ministère de l'Intérieur a mis hors ligne les sites des préfectures à titre préventif, à la demande de l'Anssi.[1] Il ne s'agit pas d'une cyberattaque contre les préfectures, mais d'une mesure de précaution.[1] Le site officiel du ministère de l'Economie, celui des Echos et celui de Météo-France étaient aussi inaccessibles.[2] Les deux failles, surnommées PHP2Shell, permettent à un pirate de prendre la main sur un serveur à distance.[1] Les correctifs ont été publiés à 16 heures par la fondation PHP.[2] Selon Dane Knecht, directeur technique de Cloudflare, des premières attaques exploitant ces failles ont été observées.[1]
Toute la tech en bref
Ce que la vidéo ne dit pas
Les failles portent les numéros CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur une échelle qui s'arrête à 10.[3] Laravel a suspendu ses déploiements Cloud, le temps de reconstruire sur des versions corrigées.[4] La fondation PHP reconnaît que le retard pris pour traiter la faille est « un échec structurel ».[2] Au Japon, la Première ministre a appelé ses concitoyens à mettre à jour leurs systèmes, et plusieurs sites gouvernementaux ont été fermés aux Pays-Bas.[2] L'aéroport d'Amsterdam-Schiphol a suspendu son application mobile, et Nintendo a coupé une partie de ses services.[1] Volker Dusch, de la fondation PHP, a comparé la situation à Heartbleed, la faille de 2014 qui avait forcé une course mondiale aux mises à jour.[4] OpenAI dit s'attendre à ce que ce type de découvertes augmente fortement dans les prochains mois.[3]
Sources
- 1Failles critiques dans PHP : des sites coupés en urgence dans le monde entier, dont ceux des préfectures en Franceactu17.fr · 21 octobre 2026
- 2Préfectures, médias, impôts... De nombreux sites internet inaccessibles afin de corriger une faille de cybersécurité mondialefranceinfo · 21 octobre 2026
- 3PHP releases emergency fixes for 2 critical vulnerabilitiesCyberScoop · 21 octobre 2026
- 4PHP2Shell: AI found two critical flaws in 70% of websitesTNW | Data-security · 21 octobre 2026
Photos : iMahesh (CC BY-SA 4.0), Benjamin Smith (CC BY-SA 4.0), SailEOuiAla (CC BY-SA 4.0), Celette (CC BY-SA 3.0), Abigor (CC BY-SA 3.0), besopha (CC BY 2.0), Cvvaecc (CC BY 4.0), Yuri Samoilov (CC BY 2.0), Atomic Taco from Seattle, WA, USA (CC BY-SA 2.0), BalticServers.com (CC BY-SA 3.0), Jernej Furman from Slovenia (CC BY 2.0), OutreachPete (CC BY 2.0), NOIRLab/NSF/AURA/T. Slovinský (CC BY 4.0), HaeB (CC BY-SA 4.0), FoxTPNL (CC BY 4.0). Recadrées.
Toute la tech en bref