Les sites internet de plusieurs préfectures françaises ont été mis hors ligne ce 21 octobre 2026 après la découverte de deux vulnérabilités critiques susceptibles de permettre une prise de contrôle à distance des serveurs concernés. La mesure a été prise préventivement afin de laisser le temps aux équipes techniques d’appliquer les correctifs de sécurité.
Contrairement à ce que pourrait laisser penser cette coupure massive, aucune cyberattaque contre les préfectures n’est actuellement confirmée. L’État a préféré rendre ses sites indisponibles plutôt que de laisser des serveurs accessibles pendant la courte période séparant la divulgation des failles et l’installation des correctifs.
Deux failles permettent de prendre le contrôle d’un serveur sans mot de passe
L’alerte concerne CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités affectant directement PHP, le langage utilisé derrière une immense partie du Web.
Les deux failles ont reçu une note de 9,2 sur 10 et peuvent, dans certaines configurations, permettre à un attaquant distant d’exécuter du code sur un serveur sans disposer au préalable d’un compte ou d’un mot de passe.
Le problème est donc bien plus sérieux qu’une vulnérabilité dans un simple plugin ou une fonctionnalité secondaire d’un site. L’erreur se situe dans le moteur PHP lui-même et intervient suffisamment tôt dans le traitement d’une requête pour que certaines protections applicatives ne suffisent pas.
L’ANSSI demande au ministère de l’Intérieur de couper les sites
Face au niveau de risque, l’ANSSI a demandé au ministère de l’Intérieur de placer préventivement les sites concernés en maintenance.
Le ministère explique avoir mis hors ligne l’ensemble de ses sites exposés à la vulnérabilité dans l’attente de leur mise à jour. Pour les préfectures, les informations urgentes doivent temporairement être diffusées par les réseaux sociaux ou par voie d’affichage.
La coupure montre surtout l’ampleur de la mutualisation technique derrière les sites de l’État : plusieurs dizaines de portails départementaux différents peuvent reposer sur une même architecture et sur des composants logiciels communs.
Impôts, Météo-France et d’autres services également coupés
Les préfectures ne sont pas les seules à avoir choisi cette stratégie. Plusieurs autres services publics français ont également été temporairement rendus inaccessibles, notamment impots.gouv.fr et des services de Météo-France.
La France n’est d’ailleurs pas un cas isolé. Des administrations aux Pays-Bas, en Finlande, en Belgique et dans d’autres pays européens ont pris des mesures similaires après les alertes émises par les équipes nationales et européennes de cybersécurité.
Le CERT-EU avait recommandé une mesure particulièrement radicale : lorsqu’un correctif ne peut pas être appliqué immédiatement, mieux vaut isoler d’Internet l’application potentiellement vulnérable.
Les correctifs PHP sont désormais disponibles
PHP avait prévenu dès le 20 octobre qu’une publication de sécurité exceptionnelle aurait lieu le lendemain à 14 heures UTC, soit 16 heures à Paris.
Les nouvelles versions ont désormais été publiées : PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 et PHP 8.2.35. Elles corrigent toutes les deux vulnérabilités.
L’équipe PHP est catégorique : il n’existe pas de mesure de contournement complète. La mise à jour constitue la seule protection considérée comme sûre.
Une erreur mémoire peut finir en exécution de code
Les détails techniques publiés permettent maintenant de comprendre pourquoi l’alerte a été prise aussi au sérieux.
La première faille, CVE-2026-109618, concerne la gestion des situations où PHP manque de mémoire pendant le traitement d’une requête. Dans certaines conditions, une partie des structures internes peut rester dans un état incohérent. Le processus de nettoyage peut ensuite manipuler ces données invalides, jusqu’à permettre une exécution de code.
La seconde, CVE-2026-109619, est liée à des informations internes conservées alors que la mémoire qui les contenait a déjà été libérée. Une requête suivante traitée par le même processus peut réutiliser cet état obsolète. Avec une disposition mémoire soigneusement préparée, les chercheurs ont démontré qu’il était possible d’aboutir là encore à une prise de contrôle à distance.
Apache avec mod_php particulièrement exposé
PHP indique que toutes les installations servant des requêtes web doivent être considérées comme concernées, notamment PHP-FPM, php-cgi, FrankenPHP, LiteSpeed et Apache avec mod_php.
Le risque est toutefois jugé particulièrement élevé avec mod_php. Un exploit a pu être démontré dans cette configuration à partir d’une requête non authentifiée, avant même que le code normal de l’application ne commence réellement à s’exécuter.
Autrement dit, un site peut être vulnérable même si son CMS, son application ou ses plugins sont parfaitement à jour : c’est la couche PHP située en dessous qui est concernée.
Les anciennes versions PHP posent un problème encore plus sérieux
Le CERT-FR considère comme potentiellement concernées toutes les générations de PHP depuis PHP 5. Mais PHP 8.1 et les branches antérieures ne sont plus maintenues officiellement par le projet.
Pour les serveurs encore sous PHP 5, PHP 7, PHP 8.0 ou PHP 8.1, l’ANSSI recommande donc de les isoler puis de migrer vers une version maintenue. Certains éditeurs Linux ou fournisseurs de support longue durée peuvent également proposer des correctifs rétroportés.
Des premières tentatives d’exploitation commencent à apparaître
L’urgence n’est pas uniquement théorique. Plusieurs acteurs de la cybersécurité indiquent déjà observer les premières tentatives d’attaque liées aux vulnérabilités. Cloudflare explique notamment avoir commencé à adapter ses règles de protection au fur et à mesure de l’apparition de nouveaux vecteurs.
La publication des correctifs rend également la situation plus dangereuse : des attaquants peuvent désormais comparer l’ancienne et la nouvelle version du code PHP afin d’identifier précisément les modifications et développer leurs propres exploits.
Une coupure spectaculaire, mais pas la preuve d’un piratage de l’État
Voir simultanément disparaître les sites de toutes les préfectures peut donner l’impression d’une cyberattaque massive contre l’administration française. Les informations disponibles montrent pour l’instant exactement l’inverse : la coupure a été décidée volontairement afin d’éviter qu’une attaque puisse avoir lieu.
Les équipes du ministère doivent maintenant installer et valider les nouvelles versions avant de remettre progressivement les services en ligne.
L’incident donne néanmoins une idée très concrète de l’impact que peuvent avoir deux vulnérabilités découvertes dans un composant aussi répandu : quelques heures après l’alerte, une partie visible de l’administration française a préféré disparaître temporairement du Web plutôt que prendre le risque de laisser ses serveurs exposés.
Source originale : Cyberattaque.org.
Image d’illustration : United States General Accounting Office Building 10.jpg — Traceries — Public domain, via Wikimedia Commons.
