Des sites publics et des médias mis en maintenance en France et à l’étranger en raison de failles

AA / Istanbul / Serap Dogansoy

De nombreux sites publics et plusieurs médias ont été rendus indisponibles mercredi en France et à l’étranger, dans le cadre de maintenances préventives après la découverte de deux failles critiques dans PHP, un langage informatique très répandu sur le web.

L’équipe PHP a publié des correctifs et appelé à leur installation immédiate. Le CERT-FR, rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), confirme que ces vulnérabilités peuvent permettre l’exécution de code à distance.

-Des fermetures préventives

La préfecture de police de Paris a annoncé sur le réseau social américain X que le ministère de l’Intérieur avait, à la demande de l’ANSSI, placé en maintenance préventive l’ensemble de ses sites exposés. Les équipes sont mobilisées pour appliquer les mises à jour, les publications étant relayées sur les réseaux sociaux.

Météo-France a également annoncé la fermeture préventive de ses sites de prévisions et de vigilance. Des indisponibilités touchant la CNIL, Vie-publique.fr, Les Échos et Challenges ont été rapportées par la presse française.

Le portail impots.gouv.fr est en maintenance pour sa documentation, ses actualités et ses formulaires. Il précise toutefois que les espaces personnels et professionnels ainsi que les services fiscaux en ligne restent accessibles par des liens dédiés.

Ces annonces décrivent des mesures de précaution et ne confirment pas une compromission des sites concernés.

-Une mise à jour urgente

Les failles CVE-2026-109618 et CVE-2026-109619 peuvent permettre à un attaquant sans identifiants d’exécuter du code sur un serveur. Leur exploitation pourrait entraîner un vol de données, une modification des services ou une prise de contrôle du système.

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’équipe PHP précise que seule une mise à jour apporte une protection complète. Pour les anciennes versions, les exploitants doivent vérifier les correctifs proposés par leur fournisseur ou migrer vers une version maintenue.

PHP fonctionne côté serveur et équipe notamment WordPress, Drupal, Joomla et Magento. Selon W3Techs, il est utilisé par 69,3 % des sites dont le langage côté serveur est identifié.

-Une mobilisation internationale

Aux États-Unis, la NSA recommande de mettre temporairement hors ligne les systèmes ne pouvant être sécurisés immédiatement. Aux Pays-Bas, le Centre national de cybersécurité a lui-même retiré son site principal par précaution. La Finlande signale aussi des perturbations de services gouvernementaux et appelle à appliquer les correctifs.

OpenAI indique que l’entreprise Calif a identifié une faille avec l’aide de ses modèles, tandis que Wiz a découvert indépendamment les deux vulnérabilités. L’entreprise affirme avoir coordonné pendant deux mois la préparation des protections avec les responsables de PHP et des partenaires de sécurité.

Selon Huntress, une fuite sur le forum Hacker News a conduit à avancer d’une journée la publication des correctifs, initialement prévue jeudi.​​​​​​​