L'État coupe les sites des préfectures avant le correctif de deux failles critiques de PHP

Le mercredi 21 octobre, vers 14 heures, les sites des préfectures de la Drôme et de l'Ardèche cessent de répondre, selon Actu17. Dans l'après-midi, la même page de maintenance s'affiche sur les sites des autres préfectures, dont celui de la préfecture de police de Paris. Il ne s'agit pas d'une panne, ni d'une attaque : c'est une décision volontaire.

Le ministère de l'Intérieur a expliqué avoir procédé, à la demande de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), à une « mise en maintenance préventive de l'ensemble de ses sites internet exposés à la vulnérabilité ». En cause : les deux failles du langage PHP annoncées la veille, dont nous racontions la fuite avant le correctif. Les préfectures ont été invitées à communiquer par les réseaux sociaux et par affichage.

Les correctifs sont disponibles depuis mercredi après-midi

Le projet PHP a publié ses correctifs le 21 octobre vers 16 heures, heure de Paris. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les deux failles, CVE-2026-109618 et CVE-2026-109619, permettent selon PHP l'exécution de code à distance. Le CERT-FR a mis à jour son alerte CERTFR-2026-ALE-014 le jour même. Il y rappelle que toutes les versions 8.1 et antérieures, qui ne sont plus maintenues, sont touchées.

Faut-il craindre des intrusions en série ? D'après InformatiqueNews, Cloudflare a observé des tentatives d'exploitation dès le 21 octobre, sans confirmer qu'elles aient réussi. Aucune compromission des préfectures liée à ces failles n'a été confirmée.

Une partie du Web européen mise en pause

La France n'est pas seule. Selon les médias qui ont suivi la journée, d'autres sites ont été mis en maintenance : une partie du portail des impôts, Météo-France, la Ville de Paris, plusieurs banques, des agences publiques aux Pays-Bas et en Finlande, les sites de la Région flamande en Belgique. Le CERT-EU, le NCSC britannique et l'ACSC australien ont conseillé aux organisations incapables de corriger de couper leurs sites. Le 22 octobre au matin, plusieurs sites publics français affichaient encore une page de maintenance.

Que faire sur vos serveurs ?

La décision de l'Intérieur donne la mesure du risque : quand l'État préfère éteindre ses sites que d'attendre, l'urgence est réelle. Les recommandations du CERT-FR :

• migrer vers une version maintenue intégrant les derniers correctifs de sécurité, désormais publiés ;
• si la mise à jour est impossible tout de suite, isoler les systèmes concernés ;
• en attendant, deux contournements, non validés par le CERT-FR : désactiver l'option session.upload_progress.enabled dans php.ini (cela ne couvre qu'une des deux failles) et bloquer, par exemple avec un pare-feu applicatif, les requêtes dont l'en-tête Content-Type est multipart, ou à défaut les surveiller de près ;
• pour PHP 8.1 et les versions plus anciennes, prévoir une migration vers une version maintenue.

Pensez aux serveurs qu'on oublie : anciens sites vitrines, outils internes, extranets de prestataires. La question qui reste ouverte est celle des jours à venir : les tentatives repérées par Cloudflare se transformeront-elles en intrusions réussies sur les serveurs restés sans correctif ?