Pourquoi la France a fermé les portes de ses sites publics mercredi

Article rédigé le 21 octobre 2026 au soir. La situation évolue d'heure en heure : certains éléments pourront être précisés dans les prochains jours.

Imaginez une ville où presque toutes les maisons ont la même serrure. Une serrure solide, posée depuis des années, à laquelle plus personne ne pense.

Un jour, on découvre qu'elle a un défaut. Un voleur malin pourrait l'ouvrir sans clé, entrer, fouiller les tiroirs, et même prendre les commandes de la maison comme s'il en était le propriétaire.

Et c'est un robot qui a trouvé le défaut. Le robot n'était pas un voleur : il aidait des chercheurs à vérifier les serrures. Mais un voleur peut lui aussi demander de l'aide à un robot.

Les experts ont donné une note à ce danger, comme à l'école : 9,2 sur 10. C'est presque la note maximale.

C'est exactement ce qui vient d'arriver sur Internet. La serrure s'appelle PHP. Elle protège environ 7 sites web sur 10 dans le monde. Mercredi 21 octobre, par prudence, la France a fermé les portes de nombreux sites publics (impôts, préfectures, Météo-France), le temps de changer les serrures. Des entreprises ont fait pareil.

Dans les prochains jours, vous tomberez peut-être sur un site marqué « en maintenance ». Ce n'est pas forcément une panne : c'est peut-être quelqu'un qui change la serrure.

Une nouvelle serrure existe déjà. Mais il faut l'installer, maison par maison. Et certaines maisons trop anciennes n'en recevront jamais.

Alors une question simple se pose : qui s'occupe de la serrure de votre maison ?

Pour ceux qui veulent comprendre en détail, voici ce qui s'est passé.

Ce qui s'est passé, simplement

Concrètement, mercredi 21 octobre en plein après-midi, le site des impôts, celui de Météo-France et ceux de la quasi-totalité des préfectures françaises sont devenus inaccessibles. Il ne s'agissait pas d'une attaque, mais d'une précaution : à la demande de l'ANSSI, l'agence nationale de cybersécurité, le ministère de l'Intérieur a mis ses sites en « maintenance préventive ». Aux Pays-Bas et en Finlande, des sites publics ont fait de même. Des entreprises ont aussi coupé une partie de leurs services : selon Actu17, l'aéroport d'Amsterdam-Schiphol a suspendu son application mobile et Nintendo une partie de ses services. Aux États-Unis, l'agence fédérale de cybersécurité a appelé à une mise à jour immédiate.

PHP est un langage informatique, c'est-à-dire une façon d'écrire les instructions qui font fonctionner un site web. Il est discret mais partout : il fait tourner WordPress, Drupal, Joomla ou Magento, des outils utilisés par d'innombrables entreprises, associations et mairies. Selon les chercheurs qui ont découvert les failles, PHP serait utilisé par environ 70 % des sites web dans le monde. Attention, ce chiffre désigne les sites qui utilisent PHP, pas ceux qui sont réellement vulnérables. En France, l'ANSSI a compté plus de 600 000 serveurs exploitant PHP, selon Le Figaro.

Les deux failles, surnommées « PHP2Shell », permettent ce que les spécialistes appellent une exécution de code à distance : une personne malveillante peut faire exécuter ses propres instructions sur le serveur d'un site, sans y avoir accès physiquement et sans mot de passe. Une fois à l'intérieur, elle peut voler des données, installer des logiciels cachés ou récupérer les comptes liés au site. L'équipe européenne de réponse aux incidents (CERT-EU) leur attribue une note de gravité de 9,2 sur 10.

La chronologie mérite d'être racontée. Selon Wiz Research, l'équipe qui a fait la découverte, la première faille a été trouvée le 19 août et signalée à l'équipe de sécurité de PHP le 24 août. Pendant deux mois, le secret a été gardé, le temps de préparer un correctif. C'est ce qu'on appelle une divulgation coordonnée : on prévient d'abord ceux qui peuvent réparer, on informe le public ensuite. Mais des informations ont fuité en ligne avant la date prévue, ce qui a accéléré le calendrier. Les correctifs ont été publiés mercredi après-midi. Selon le site Actu17, qui cite le média spécialisé The Record, ils ne concernent que les versions récentes de PHP (8.2 et suivantes), les plus anciennes n'étant plus maintenues. Le directeur technique de Cloudflare, une entreprise qui protège une grande partie du web, a indiqué observer les premières tentatives d'attaque.

L'alerte : la même IA ouvre et referme les portes

Wiz Research explique avoir utilisé plusieurs modèles d'IA de pointe pour trouver ces failles, puis pour vérifier les correctifs. Actu17 rapporte que d'autres chercheurs, chez Calif, ont aussi travaillé avec un modèle d'OpenAI. C'est une bonne nouvelle : l'IA a permis de détecter un problème présent depuis des années dans un outil utilisé partout.

Mais c'est aussi le cœur du problème éthique. L'outil qui trouve la faille pour la réparer peut aussi aider à l'exploiter. Un expert interrogé par Le Figaro le résume ainsi : « À l'heure de l'IA, il faut prier pour que cela se passe bien ». Autrefois, entre la découverte d'une faille et son exploitation, il fallait du temps et des compétences rares. Aujourd'hui, ce délai se réduit. Les défenseurs, eux, doivent toujours mettre à jour des milliers de sites, un par un.

Trois questions se posent alors, sans catastrophisme :

• Qui paie le prix de la vitesse ? Les grandes organisations ont des équipes informatiques. Le petit commerçant, l'association de quartier ou la mairie d'un village, souvent, n'en ont pas. Leur site WordPress installé il y a cinq ans tourne peut-être sur une version de PHP qui ne sera jamais corrigée.
• Qui entretient les fondations ? PHP est un logiciel libre, construit et maintenu par une communauté. Une grande partie du web repose sur ce travail souvent peu visible. Sa sécurité est un bien commun, au même titre qu'une route ou un pont.
• Qui décide de ce qu'on publie, et quand ? La fuite prématurée des informations a laissé moins de temps pour se protéger. Dans un monde où l'IA accélère tout, la retenue devient une vertu de sécurité publique.

L'espérance : ce que chacun peut faire

Cette histoire montre aussi ce qui fonctionne. Des chercheurs ont trouvé les failles et les ont signalées au lieu de les vendre. Une communauté a travaillé deux mois pour les corriger. Des États ont préféré couper leurs sites quelques heures plutôt que d'exposer les données des citoyens. C'est notre fil rouge : bâtir la cité plutôt que la tour de Babel. Bâtir ensemble, avec prudence, plutôt que monter toujours plus vite et plus haut.

À votre échelle, vous n'avez pas besoin d'être informaticien pour agir. Il suffit de poser les bonnes questions aux bonnes personnes.

Et si vous utilisez l'IA dans votre activité, gardez en tête cette leçon : un outil puissant n'est ni bon ni mauvais en lui-même. Tout dépend de qui l'utilise, pour quoi faire, et avec quelles règles. C'est aussi le sujet de mon livre L'abondance tuera : quand la puissance devient abondante, la sagesse devient indispensable.

Et vous ?

Savez-vous aujourd'hui qui est responsable de la sécurité de votre site, de celui de votre association ou de votre commune ? Et si une IA peut trouver une faille en quelques jours, que devrions-nous exiger de ceux qui construisent et entretiennent nos outils numériques ?

Pour ne pas manquer le prochain article, inscrivez-vous à la newsletter du jeudi sur la page Pourquoi allelu.ai. Et si vous connaissez un commerçant, une association ou un élu qui gère un site web, transférez-lui cet article : c'est peut-être la personne qui devrait le lire en premier.

Sources

• Le Figaro, « Une partie de l'Internet mondial mise à l'arrêt après la découverte de failles critiques dans le langage informatique PHP », 21 octobre 2026
• Actu17, « Failles critiques dans PHP : des sites coupés en urgence dans le monde entier, dont ceux des préfectures en France »
• Wiz Research, « PHP2Shell » (en anglais)
• CERT-EU, avis de sécurité 2026-018 (en anglais)
• CISA, « Critical Vulnerabilities in PHP Require Immediate Patching », 21 octobre 2026 (en anglais)

Rédigé avec l'aide de l'IA, relu et validé par Reynald Naulleau.