Hautetfort indisponible : deux failles de sécurité critiques dans PHP perturbent aussi d'autres sites Internet

Capture d’écran - Pour agrandir : triple click gauche sur l'image

 

Cruelle déconvenue, ce matin jeudi 22 octobre 2026, vers 11 h, je m’apprêtais à mettre en ligne un article que j’avais peaufiné hier quand, en arrivant, aujourd’hui, sur le site de mon hébergeur de blog Hautetfort, je suis tombé sur un message dont j'ai publié une capture d'écran. La réouverture est prévue au cours du week-end. Je viens juste de terminer cet article le 22 octobre 2026 à 18 h 29.

Le 21 octobre 2026, deux failles de sécurité critiques ont été signalées dans PHP, un langage de programmation créé au début des années 1990 et utilisé, pour les faire tourner, par 70 % des sites mondiaux du web soit des dizaines de millions de plateformes. Ces failles pouvaient permettre à un pirate d’exécuter du code à distance et de prendre le contrôle d’un serveur vulnérable.

Et pour une fois, on peut dire « merci » à l’intelligence artificielle pour les avoir débusquées ! Ce sont ainsi des chercheurs des sociétés de cybersécurité Wiz et Calif qui, à l’aide de Gemini 4 Argon de Google et GPT d’OpenAI, sont parvenus à trouver ce que l’on peut considérer comme de véritables portes d’entrées pour les cybercriminels. « Cette trouvaille a été gardée secrète le temps qu’un correctif soit élaboré ».

Ces failles de sécurité ont été référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619. Elles peuvent permettre à un attaquant d'exécuter du code à distance sur un serveur vulnérable, sans s'authentifier.

Face à ce risque, l’ANSSI a demandé la mise hors ligne préventive de plusieurs sites institutionnels, notamment des préfectures, afin de limiter les risques d’intrusion.

Les mesures préconisées étaient :

    • Isoler temporairement les serveurs vulnérables d’Internet.
    • Installer les correctifs de sécurité publiés par l’équipe PHP.
    • Migrer vers une version de PHP maintenue et sécurisée lorsque la version utilisée n’était plus prise en charge.
    • En attendant, appliquer des mesures de protection temporaires et surveiller les requêtes suspectes.
      
Conséquence : de nombreux sites ont été temporairement indisponibles. Cette interruption résultait d’une mesure de prévention face à une menace potentielle ; elle ne signifie pas nécessairement que ces sites avaient été piratés.

Les « quelques » sites touchés au départ :

CNIL, Préfecture de la Gironde, Préfecture de police de Paris, Direction générale des Finances publiques, ADEME, Commission de régulation de l'énergie, Mon Parcours Handicap, DeviantArt, 4chan, Zaclys.

Les sites encore en maintenance le 22 octobre 2026 à 18 h 28 :

Hormis Hautetfort qui est toujours en maintenance, on trouve encore :

Le site des impôts

Capture d’écran - Pour agrandir : triple click gauche sur l'image

Le site de la préfecture de Gironde

Capture d’écran - Pour agrandir : triple click gauche sur l'image

Le site de la préfecture du Haut-Rhin

Capture d’écran - Pour agrandir : triple click gauche sur l'image

Faille majeure de sécurité : l'Internet mondial en partie stoppé - TF1 INFO

 

P. -S. :

Comme vous pouvez le constater, mon hébergeur de blog, Hautetfort n’a pas réussi a maintenir mon blog correctement. Je me retrouve avec deux fois les mêmes données à droite et à gauche...

Références :

 - DNA : Préfectures, ministères, impôts... ce que l'on sait de la faille qui met à l'arrêt une partie du web mondial

 - Europe1 : Les sites internet de toutes les préfectures, dont la préfecture de police de Paris, inaccessibles

 - Centre Presse Aveyron : Météo France, préfectures, impôts... Pourquoi plusieurs sites ne sont soudainement plus accessibles en France ce mercredi ?

 - Cybersécurité : Les sites de plusieurs préfectures inaccessibles après une alerte critique de l’Anssi

 - Quels risques courrons-nous avec les failles « PHP » qui menacent 70 % des sites Web ?