// CLUBIC — CYBERSECURITY
Ameli, CAF, impôts, URSSAF : pourquoi tant de sites publics sont hors service ? On vous explique les failles PHP
De nombreux sites publics sont hors service ce jeudi, et ce depuis la veille. Derrière ces coupures volontaires et préventives, on retrouve deux failles critiques affectant PHP, un langage informatique méconnu mais présent sur une large part du Web.
Si vous n'arrivez pas à vous connecter à Ameli, à la CAF, à l'URSSF, au site des impôts ou encore à celui du CNES ce jeudi 22 octobre pour ne citer qu'eux, sachez que votre connexion n'y est pour rien. De nombreux sites publics et institutionnels sont en panne ou en maintenance, depuis mercredi pour certains. Cette pagaille presque volontairement provoquée, pourrait-on dire, porte un nom que peu de Français connaissent, PHP, et ses deux failles critiques corrigées dans l'urgence. Si petit à petit, les choses sont en train de rentrer dans l'ordre, on vous explique, sans jargon, ce qui se passe et pourquoi tant d'organismes préfèrent ou ont préféré baisser le rideau pendant un moment.
Pour comprendre, il faut d'abord savoir ce qu'est PHP. Il s'agit d'un langage de programmation qui tourne sur les ordinateurs qui hébergent les sites web. Son rôle consiste à fabriquer à la demande la page que vous affichez, un peu comme un cuisinier qui prépare chaque plat à la commande. D'après W3Techs, il équipe 69,3 % des sites dont on connaît le langage utilisé côté serveur, des blogs WordPress aux boutiques en ligne.
Sauf que ce cuisinier a deux failles dans sa façon de travailler. Référencées CVE-2026-109618 et CVE-2026-109619, et surnommées PHP2Shell par certains chercheurs, elles permettent à un pirate de glisser ses propres ordres en cuisine, c'est-à-dire de faire exécuter des commandes au serveur (informatique) à distance, sans le moindre mot de passe. L'équipe de PHP leur attribue une note de gravité de 9,2 sur 10. Le risque est maximal avec une configuration classique, le serveur Apache associé au module mod_php, où l'attaque peut se déclencher avant même que le code du site ne s'exécute.
Le calendrier s'est un peu bousculé ces dernières heures. Mardi, l'existence des failles a fuité sur Hacker News, un forum de passionnés de tech, avant même l'annonce officielle. PHP a publié ses correctifs hier, mercredi à 16 heures, avec les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, tandis que les distributions Linux les avaient reçus en avance. Le problème, c'est que les détails techniques sont désormais publics. « PHP2Shell réunit bon nombre des ingrédients de Log4Shell », la faille géante de fin 2021, observe Debrah Galea, de la société de cybersécurité Filigran. Elle nuance toutefois en précisant que PHP est plus facile à repérer, et que ses failles sont plus difficiles à exploiter, en plus de l'existence d'un correctif.
Mercredi, le CERT-FR, le service de l'État chargé de répondre aux attaques informatiques, a publié une alerte. Sa consigne était d'isoler les machines concernées, puis de passer à une version de PHP à jour. Le bulletin précise que toutes les anciennes versions, de PHP 5 à PHP 8.1, sont touchées. Le projet ne les suit plus, même s'il a exceptionnellement fourni des correctifs minimaux à compiler soi-même pour les versions 7.4, 8.0 et 8.1. Les parades provisoires suggérées par le CERT-FR, comme désactiver une fonction liée à l'envoi de fichiers, ne bloquent pas tout, et le CERT-FR précise lui-même ne pas les garantir. « Mettre un site hors ligne pendant une journée est une décision bien moins coûteuse que d'expliquer une compromission pendant un an », tranche Samuel Hassine, cofondateur et dirigeant de Filigran.
Encore faut-il savoir où PHP se cache. « Le plus difficile n'est pas d'installer le correctif, mais de savoir où PHP s'exécute », poursuit-il. Le langage peut être enfoui dans des logiciels tiers qui ne le mentionnent jamais, et c'est pourquoi, selon lui, des gouvernements préfèrent mettre des sites hors ligne plutôt que d'attendre. Une fois la mise à jour faite, il conseille encore de vérifier qu'aucun intrus n'est entré entre-temps, en cherchant des fichiers suspects o