Failles PHP : pourquoi tant de sites sont passés en maintenance, jusqu'à Toulouse
Le 21 octobre 2026, la publication en urgence de correctifs pour deux failles critiques du langage PHP a conduit de nombreux sites publics à se mettre hors ligne par précaution, en France comme ailleurs. Le site de la mairie de Toulouse affichait encore une page de maintenance le lendemain.
Préfectures, Préfecture de police, Météo-France, site des impôts : le mercredi 21 octobre 2026, de nombreux sites publics français sont devenus inaccessibles en quelques heures. En cause, deux failles critiques découvertes dans PHP, le langage informatique qui fait tourner une grande partie des sites web dans le monde. Le lendemain matin, le site de la mairie et de la métropole de Toulouse affichait encore une page « Site en maintenance ».
Deux failles notées 9,2 sur 10
Les développeurs de PHP ont annoncé mardi 20 octobre avoir identifié deux vulnérabilités critiques, notées 9,2 sur 10 sur l'échelle de gravité CVSS. Toutes les versions de PHP 5 à 8 pourraient être concernées. Ces failles permettent d'exécuter du code à distance sur un serveur : un pirate peut alors voler des données, défigurer un site ou en prendre complètement le contrôle.
Le correctif était prévu pour le jeudi 22 octobre. Selon le Wall Street Journal, cité par Le Monde, les failles avaient été découvertes dès le mois d'août grâce à des outils d'intelligence artificielle. Mais leur révélation sur le forum spécialisé Hacker News a précipité les choses, et les correctifs ont finalement été publiés le mercredi peu avant 16 heures.
−20 € sur l’adhésion avec le code de parrainage La Fourche
Utiliser le code chez La Fourche → En savoir plus sur La FourchePourquoi tant de sites ont été coupés
PHP fait fonctionner les sites construits avec WordPress, Drupal, Joomla ou Magento, la plupart des hébergements mutualisés et de nombreux panneaux d'administration. L'Anssi a recensé plus de 600 000 serveurs utilisant PHP sur l'Internet français.
Face au risque, l'Anssi a recommandé de mettre hors ligne les serveurs concernés jusqu'à l'installation de la mise à jour. Le ministère de l'Intérieur a placé en « maintenance préventive » l'ensemble de ses sites exposés, et les préfectures ont relayé leurs informations sur les réseaux sociaux et par affichage. Des sites publics ont aussi été coupés aux Pays-Bas, en Finlande, au Royaume-Uni, en Allemagne, au Danemark et en Belgique. Aux États-Unis, la NSA a appelé à une mise à jour immédiate.
Les premières tentatives d'attaque ont été observées dès mercredi par la société Cloudflare.
Ce qu'il faut faire si l'on a un site
- Site sur un hébergement mutualisé (WordPress chez un hébergeur, par exemple) : l'hébergeur applique en général les correctifs lui-même. Vérifiez ses annonces ou sa page de statut.
- Serveur géré soi-même : vérifiez la version installée avec la commande
php -v, puis installez la mise à jour de sécurité. Sur Ubuntu ou Debian, les correctifs arrivent par les dépôts officiels : une mise à jour des paquets PHP suffit. - En cas de doute, la recommandation de l'Anssi s'applique : couper le site le temps de le mettre à jour.
20 € offerts sur votre premier casier Poiscaille, récompense doublée jusqu’au 15 octobre
Utiliser le parrainage chez Poiscaille → En savoir plus sur le parrainage PoiscailleLes associations et petites communes aussi concernées
Les sites de mairies, d'associations ou de petits commerces tournent très souvent sous WordPress, donc sous PHP. Ce sont aussi ceux qui disposent le moins de moyens techniques pour réagir vite. Si votre commune ou votre association a un site, c'est le moment de demander à son prestataire ou à son hébergeur si le correctif a bien été installé.