PHP2Shell : préfectures, impôts, Bercy et Météo-France coupés sur demande de l’ANSSI
Page blanche à la préfecture. Depuis le milieu de l’après-midi de ce mercredi 21 octobre, les sites de la préfecture de police, de la Seine-Saint-Denis, des Hauts-de-Seine, du Val-de-Marne, de l’Essonne, de la Gironde, des Bouches-du-Rhône ou de la Savoie affichent un message de maintenance. Ceux du ministère de l’Économie, de Météo-France et des Echos aussi. Le ministère de l’Intérieur a débranché l’ensemble de ses sites exposés aux deux failles PHP2Shell annoncées ce matin, le temps d’appliquer le correctif publié à 16h.
- Les sites de plusieurs préfectures françaises ont été mis hors ligne par précaution en raison de failles de sécurité critiques, une décision de l’ANSSI.
- La France n’est pas seule, de nombreux autres pays européens ont pris des mesures similaires pour éviter des intrusions.
Sites des préfectures coupés : la décision de l’ANSSI
Le ministère l’écrit noir sur blanc dans un message transmis à franceinfo : « à la demande de l’ANSSI, le ministère de l’Intérieur a procédé à la mise en maintenance préventive de l’ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité ». La mise à jour suivra « dans les meilleurs délais », sans heure de retour annoncée. Le CERT-FR, bras opérationnel de l’agence, a publié dans la journée l’alerte CERTFR-2026-ALE-014 sur les CVE-2026-109618 et 109619, deux failles d’exécution de code à distance sans authentification notées 9,2 sur 10.
Aucun des sites coupés n’a signalé d’intrusion. La logique est préventive, et elle tient en une phrase de Cloudflare : l’opérateur filtrait les tentatives d’exploitation depuis 3h02 UTC et a vu les attaquants modifier leurs charges pour contourner ses règles, alors que le correctif n’existait pas encore. Un site PHP sans pare-feu applicatif n’avait donc que deux options cet après-midi, patcher dans l’heure ou fermer. L’État a choisi la seconde pour ses préfectures, et certaines rubriques du portail des impôts sont inaccessibles. Météo-France, dont le site d’alertes est lui aussi hors ligne, continue de diffuser ses vigilances sur les réseaux sociaux.
PHP2Shell : l’Europe entière tire la prise
La France n’est pas un cas isolé. D’après le factbox de Reuters, l’agence fédérale allemande ITZBund a désactivé plusieurs sites par précaution, le ministère belge des Affaires étrangères a fermé les siens, la Finlande a coupé les services web de l’État, et aux Pays-Bas le port de Rotterdam, le portail Overheid.nl, la fédération de football et les sites des cinq plus grands partis politiques sont hors ligne. La Wikimedia Foundation a retiré plusieurs systèmes. La NSA a demandé sur X de débrancher tout ce qui n’était pas à jour, et au Japon la Première ministre a elle-même posté un appel à mettre à jour.
Le correctif PHP2Shell existe depuis 16h, avec PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et des rétroportages pour les branches 7.4 à 8.1. Le délai de retour des sites dépend donc du nombre de serveurs à traiter, pas de l’éditeur. Pour un hébergeur ou une administration qui gère des centaines d’instances, cela se compte en heures, parfois en jours quand des applications métier doivent être testées après la montée de version.
Pour les lecteurs qui hébergent eux-mêmes un site WordPress, une boutique WooCommerce acceptant le bitcoin, un explorateur ou le tableau de bord d’un pool, la marche à suivre est détaillée dans notre article de ce matin, et elle se résume à trois gestes : inventorier toutes les installations PHP, mettre à jour, et surveiller les requêtes multipart suivies d’erreurs 500 à répétition.
Les failles ont été découvertes le 19 août par Wiz Research avec l’aide de deux modèles d’IA, Gemini 4 Argon et GPT-5.6 Sol, qui ont permis à « un seul chercheur » de faire « en une semaine » ce qu’une équipe mettait des mois à produire. Des préfectures françaises hors ligne à cause d’une faille trouvée par une IA, voilà la deuxième alerte infrastructure en quelques jours pour les administrateurs français, après celle sur les certificats HTTPS compromis d’eMudhra.
Gabriel Montaut
Geek, passionné de SEO, de crypto et d'IA. Responsable SEO pour Journal Du Coin et consultant SEO freelance, je suis investi dans la diffusion et la compréhension des innovations tech en général et m’attache particulièrement à rendre l’actualité accessible au plus grand nombre.