Face à la découverte de deux vulnérabilités critiques dans PHP, le langage de programmation utilisé par une large part du web, les autorités françaises ont demandé mercredi la mise hors ligne préventive de nombreux sites institutionnels et privés. Parmi les services visés figurent les sites de toutes les préfectures, le portail des impôts et plusieurs sites ministériels (Culture, Écologie), ainsi que des médias et des groupes industriels, a indiqué le ministère de l'Intérieur.
Le mouvement a été déclenché après une alerte du centre de veille et d'alerte CERT-FR, relayée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). L'éditeur de PHP a publié le 20 octobre une communication faisant état de ces deux failles, puis des correctifs ont été mis en ligne le 21 octobre. En attendant l'application de ces mises à jour, les autorités ont privilégié une coupure préventive pour réduire le risque d'exploitation — notamment par des attaques par déni de service.
« Les équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais, dès que le correctif de sécurité sera rendu disponible par l'éditeur », a expliqué le ministère de l'Intérieur.
Étendue du risque et services affectés
L'ANSSI a précisé que environ 600 000 serveurs en France utilisent le moteur PHP concerné. Le spécialiste de la cybersécurité Palo Alto Networks a, pour sa part, estimé à 22 millions le nombre de plateformes exposées à ces vulnérabilités dans le monde. Ces chiffres mettent en lumière l'ampleur du périmètre potentiellement vulnérable : sites dynamiques, portails administratifs, applications web et de nombreux services en ligne reposent sur PHP pour générer des pages dont le contenu varie selon les interactions utilisateur ou les données serveur.
- Services publics affectés : préfectures, portail des impôts, ministères (Culture, Écologie).
- Médias et entreprises : plusieurs grands médias nationaux et groupes industriels ont placé des pages en maintenance.
- Conduite recommandée : mise hors ligne jusqu'à l'installation des correctifs publiés par l'éditeur.
Le recours à la mise hors ligne comme mesure d'urgence vise à empêcher que des acteurs malveillants n'exploitent ces failles pour perturber les services ou accéder à des données. Le CERT-FR a explicitement recommandé cette stratégie « jusqu'à application de la mise à jour intégrant les correctifs de sécurité ».
Conséquences pour la diffusion d'information et le public
Plusieurs rédactions ont constaté des interruptions temporaires de mise en ligne ou d'accès à leurs sites : certains médias ont remplacé leurs pages par des messages de maintenance et publié leurs informations via les réseaux sociaux. Pour les préfectures, le ministère a indiqué que les communications seraient assurées « sur les réseaux sociaux et par voie d'affichage » pendant la période de maintenance.
Au-delà de la gêne immédiate pour l'accès à l'information ou aux démarches en ligne, cette situation rappelle la dépendance du paysage numérique — publics et privés — à quelques briques logicielles majeures. Les éditeurs de sites doivent non seulement surveiller les correctifs mais aussi maintenir des procédures de déploiement et de restauration d'urgence pour limiter l'impact sur le service public et l'économie numérique.
Ce que disent les acteurs de la cybersécurité
L'ANSSI a insisté sur la nécessité d'une réaction rapide : appliquer les correctifs fournis par l'éditeur est la première mesure de remédiation. Les acteurs privés de la cybersécurité, comme Palo Alto Networks, alertent quant à eux sur l'échelle globale du phénomène et la possibilité d'une exploitation massive si des serveurs restent exposés.
| Élément | Chiffre / exemple | Source |
|---|---|---|
| Serveurs PHP en France | 600 000 | ANSSI (communiqué cité par l'AFP) |
| Plateformes exposées dans le monde | 22 millions | Palo Alto Networks |
| Actions prises | Sites mis hors ligne, maintenance et publications alternatives | Ministère de l'Intérieur, CERT-FR |
Les équipes techniques des administrations et des entreprises sont désormais engagées dans une course contre la montre pour déployer les correctifs et rétablir les services sans introduire de régressions. La situation souligne aussi l'importance pour les éditeurs et hébergeurs d'intégrer des mécanismes de mise à jour automatisée et de tests avant déploiement, afin de réduire les fenêtres d'exposition.
Sur le plan réglementaire et stratégique, cet épisode alimentera probablement les discussions sur la résilience des infrastructures numériques critiques, la formation des équipes en cybersécurité et la nécessité d'un pilotage national coordonné face aux vulnérabilités touchant des composants largement répandus comme PHP.
