Failles PHP découvertes par l'IA : pourquoi des sites officiels ont coupé

Par Rédaction E.T Editalent, publié le 2026-10-23.

Contenu partiellement rédigé par l’IA.

Illustration : Failles PHP découvertes par l'IA : pourquoi des sites officiels ont coupé

En bref

  • Mercredi 21 octobre, les sites de plusieurs préfectures, du ministère de l'Économie, de Météo-France ou du journal Les Echos ont été coupés à la demande de l'ANSSI, le temps de corriger deux failles critiques du langage PHP, surnommées PHP2Shell.
  • Selon Reuters, ces failles présentes depuis des années ont été découvertes grâce à l'intelligence artificielle. Cloudflare a observé des tentatives d'exploitation passer de quelques milliers à « des millions » en quelques heures.
  • Une coupure n'est pas un piratage : c'est souvent une mesure de précaution. Mais un site de confiance peut être détourné s'il n'est pas corrigé.
  • Pour une mairie, un média ou un pigiste qui gère un site : mettre à jour WordPress ne suffit pas, c'est la version de PHP chez l'hébergeur qui compte.

Article établi le 23 octobre 2026. Photo d'illustration : écran affichant du code, Ron23545, CC BY-SA 4.0, via Wikimedia Commons.

Pourquoi les sites des impôts, des préfectures et de Météo-France étaient-ils inaccessibles ?

Mercredi 21 octobre après-midi, les sites de la préfecture de police de Paris et de plusieurs préfectures franciliennes, celui du ministère de l'Économie, de Météo-France ou encore du quotidien Les Echos ont affiché des pages de maintenance 1. Le ministère de l'Intérieur a expliqué agir à la demande de l'ANSSI, après la « détection d'une vulnérabilité critique de sécurité annoncée il y a quelques heures par l'éditeur d'un composant logiciel générique, largement utilisé à travers le monde ».

Ce composant, c'est PHP, le langage qui fait tourner une grande partie du web, dont WordPress, Drupal, Joomla ou Magento 2. Météo-France a annoncé diffuser ses informations de sécurité météorologique sur ses réseaux sociaux en attendant le rétablissement de ses outils 1.

Que sont les failles PHP2Shell ?

Deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, notées chacune 9,2 sur 10 3. Elles permettent à un attaquant non authentifié d'exécuter du code à distance sur un serveur. Autrement dit, une simple requête web forgée peut suffire, sans mot de passe.

Selon l'agence de cybersécurité de Singapour, elles touchent toutes les versions de PHP. Dans certaines configurations, l'attaque se déclenche avant même que le code du site ne s'exécute, ce qui rend inutile la sécurité de l'application elle-même 2. Les correctifs ont été publiés mercredi à 16 heures (heure de Paris) dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

La fondation PHP a reconnu un raté dans la publication : « Nous n'allons pas le nier : ce retard est un échec structurel, lié à la fois au processus décisionnel de l'équipe de sécurité et à son manque de ressources » 1.

Quel rôle a joué l'intelligence artificielle ?

C'est le point le plus marquant de l'affaire. Selon Reuters, ces failles « avaient sommeillé dans le logiciel pendant des années jusqu'à ce qu'elles soient découvertes grâce à l'IA » 4. L'agence ne détaille pas quel outil a été utilisé.

L'IA joue aussi de l'autre côté. « Les entreprises font la course pour se mettre à jour face à des attaquants qui peuvent utiliser l'IA pour les exploiter. C'est toute la course », résume Madeline Lawrence, cofondatrice de la société belge Aikido Security, citée par Reuters 4. Le PDG de Cloudflare, Matthew Prince, décrit une progression fulgurante : des milliers de tentatives dans les dix heures précédant l'annonce, des dizaines de milliers dans les 45 minutes suivantes, des centaines de milliers en deux heures, puis « des millions ». Amazon a également signalé une exploitation massive.

« Je n'avais rien vu de tel depuis très, très longtemps », a déclaré le PDG de Microsoft, Satya Nadella, lors d'un événement en Allemagne 4. Au Japon, Nomura, MUFG, ANA ou East Japan Railway ont suspendu temporairement certains services en ligne.

Un site coupé a-t-il été piraté ?

Pas forcément. Malwarebytes rappelle qu'une indisponibilité temporaire « ne signifie pas qu'un site a été compromis » : c'est souvent une décision de protection 2. Le risque est ailleurs : un site légitime non corrigé peut être détourné pour piéger ses propres visiteurs. « C'est une mine d'or pour les pirates », estime Shahak Shalev, responsable de la recherche sur les arnaques chez Malwarebytes, car ils peuvent profiter de la réputation d'un vrai site pour diffuser hameçonnage ou logiciels malveillants.

Mairie, rédaction, pigiste : que vérifier dès aujourd'hui ?

  1. Demander à l'hébergeur quelle version de PHP fait tourner le site, et s'il a appliqué le correctif. Mettre à jour WordPress ou ses extensions n'est pas la même chose que mettre à jour PHP 2.
  2. Ne pas oublier les sites dormants : ancien site de campagne, microsite d'événement, intranet. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour de sécurité régulières.
  3. Chercher des traces depuis le 17 octobre : l'avis de l'agence indienne DSCI recommande de contrôler les serveurs exposés pour d'éventuelles compromissions depuis cette date 5.
  4. Changer les clés et mots de passe stockés sur le serveur si un doute existe : l'une des failles peut exposer la mémoire du serveur.
  5. Prévenir le public si le site doit être coupé : un message clair sur les réseaux sociaux, comme l'a fait Météo-France, évite les rumeurs.

Nous avions détaillé la veille les versions à installer et les réflexes pour WordPress. Pour rédiger rapidement une alerte claire à vos usagers ou lecteurs, notre correcteur IA relit un communiqué en quelques secondes, sans modifier les citations.

FAQ

Dois-je mettre à jour PHP sur mon ordinateur ?

Non. Les visiteurs n'ont rien à installer. Ce sont les serveurs qui hébergent les sites qui doivent être corrigés.

Mon site WordPress est à jour, suis-je protégé ?

Pas nécessairement. La faille est dans PHP, pas dans WordPress. Il faut que l'hébergeur ait installé une version corrigée de PHP.

L'IA a-t-elle servi à attaquer les sites français ?

Rien ne le prouve publiquement à ce stade. Reuters indique que les failles ont été découvertes grâce à l'IA et un expert estime que les attaquants peuvent s'en servir pour les exploiter.

Les données des contribuables ont-elles été volées ?

Aucune source consultée ne fait état d'un vol de données sur les sites publics français coupés le 21 octobre. La coupure était présentée comme préventive.

Sources

Retour au blog