Deux violations critiques découvertes dans le langage de programmation PHP, utilisées par environ 75 % des sites Web dont le langage peut être identifié, ont déclenché une crise mondiale de cybersécurité. Les Pays-Bas, la France, la Finlande, le Danemark et l’Allemagne ont fermé de manière préventive les portails gouvernementaux et Cloudflare avertit que les attaques ont déjà commencé. En Roumanie, les autorités sont en alerte, mais aucune fermeture massive n’a été signalée.

(personnel : Europe / Technologie et cybersécurité)

---

Le mercredi 21 octobre 2026, Internet a de nouveau eu une journée sombre. Quelques jours à peine après une averse de Google Cloud, des millions d’utilisateurs de Revolut n’ont pas accès à de l’argent, une nouvelle crise a frappé l’infrastructure numérique mondiale. Cette fois, le problème ne provenait pas d’un fournisseur de cloud, mais de l’un des langages de programmation les plus anciens et les plus répandus au monde : PHP.

Mardi, les développeurs PHP ont annoncé l’identification de deux vulnérabilités critiques et ont exhorté les utilisateurs à mettre à jour leurs sites immédiatement. Mercredi, vers 13h45 GMT, une version fix est sortie. Mais à ce moment-là, les agences de cybersécurité du monde entier étaient déjà en état d’alerte. Et dans certains pays, la mesure était radicale : les sites étaient complètement hors ligne.

Qu’est-ce que PHP et pourquoi est-ce important

PHP est un langage de programmation open-source utilisé pour développer des applications de serveurs côté Web. Lorsqu’un visiteur accède à une page, le serveur exécute PHP, assemble le contenu et l’envoie au navigateur. Il est gratuit, entretenu par des volontaires et est à la base d’environ 75 % des sites Web dont le langage de programmation peut être identifié, selon W3Techs. C’est le moteur de WordPress, une plateforme utilisée par environ 43 % de tous les sites Web, des blogs personnels aux portails gouvernementaux et aux magasins en ligne.

Cette propagation massive explique pourquoi une vulnérabilité dans le PHP n’est pas un problème technique mineur mais une menace systémique. La société de cybersécurité Huntress a résumé la situation dans un article de blog : “Le PHP est partout. Il alimente discrètement les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement partagé, les panneaux de contrôle et de nombreux programmes qui ne le mentionnent pas du moins. Utilisez PHP dans les coulisses.”

La réaction en chaîne des gouvernements européens

Face à une si grande menace, les gouvernements européens n’ont pas attendu. Mercredi, plusieurs États ont décidé de mettre leurs sites hors de leurs activités de manière préventive, préférant les temps d’arrêt au risque d’une violation de la sécurité.

Dans Pays-Bas, le Centre national de cybersécurité a interrompu sa propre activité en ligne, et plusieurs organisations ont suivi son exemple : le port de Rotterdam, le portail gouvernemental Overheid.nl, la fédération nationale de football de KNVB, les sites des cinq plus grands partis politiques et plusieurs hôpitaux ont été mis hors ligne.

Dans France, le ministère de l’Intérieur a annoncé qu’il avait temporairement mis hors service les sites administratifs des autorités locales, “en attendant une solution de sécurité”. Selon la publication Le Figaro, le site Internet de l’administration fiscale, celui de la préfecture de police et des préfectures des départements ont été touchés.

Dans Finlande, le fournisseur de services informatiques de l’État, Valtori, a annoncé que les services publics du réseau gouvernemental avaient été mis hors service “à titre de mesure de précaution”. Dans Danemark, la société informatique municipale Kombit a fermé plusieurs services, dont la plate-forme de communication des écoles nationales. et dans Allemagne et Autriche, certaines universités et autorités locales ont pris des mesures similaires.

Avertissements mondiaux et attaques déjà en cours

Les agences de cybersécurité de l’Union européenne, d’Australie, du Japon et du Royaume-Uni ont exhorté les utilisateurs de PHP à installer des mises à jour immédiatement ou à mettre leurs sites hors service jusqu’à ce que les corrections soient appliquées. Dane Knecht, directeur technique de Cloudflare, a déclaré que les attaques avaient déjà commencé : “Nous constatons que des attaques commencent à se produire et que nous mettons à jour les mesures d’atténuation des risques à mesure que de nouveaux vecteurs d’attaque apparaissent. Ce n’est qu’une mesure temporaire. Installez la mise à jour dès que PHP la lance.”

Les experts avertissent que l’étendue pourrait être énorme. Lukasz Olejnik, chercheur au King’s College de Londres, a déclaré que la menace pourrait être amplifiée par des campagnes de piratage assistée par l’intelligence artificielle qui se sont multipliées ces dernières semaines. “L’étendue est énorme. Et avec l’aide de l’intelligence artificielle, l’exploitation des vulnérabilités pourrait se produire instantanément et à grande échelle”, a-t-il averti. Le risque est particulièrement élevé pour les petits sites gérés par des individus ou des organisations avec des ressources techniques limitées qui ne gèrent pas directement leurs serveurs.

La situation en Roumanie

Selon les informations disponibles, aucune fermeture massive de sites gouvernementaux n’a été signalée en Roumanie, similaire à ce qui s’est passé aux Pays-Bas ou en France. Cependant, les autorités sont en état d’alerte et les administrateurs système ont été invités à appliquer de toute urgence le correctif publié par les développeurs PHP. Étant donné que la Roumanie héberge de nombreux sites institutionnels construits sur WordPress et d’autres plateformes exécutant PHP, le risque reste important.

Conclusion

Une vulnérabilité dans un langage de programmation gratuit, maintenue par des volontaires, a réussi à prendre des sites gouvernementaux hors ligne de la moitié occidentale de l’Europe et à déclencher une mobilisation mondiale des agences de cybersécurité. Ce n’était pas une attaque coordonnée, mais une brèche technique dans un logiciel utilisé par les trois quarts de l’Internet mondial. Et la réaction des gouvernements – pour anticiper les sites – montre à quel point l’infrastructure numérique sur laquelle nous nous appuyons chaque jour est fragile.

Le patch est sorti mercredi après-midi. Mais pour de nombreux sites, la mise à jour ne sera pas instantanée. Et les attaquants le savent. Il reste à savoir si la violation sera exploitée à grande échelle et combien d’institutions paieront le prix d’un retard de plusieurs heures.