Impôts, préfectures, CNIL… : deux failles dans PHP menacent 70 % du web, des milliers de sites débranchés
Mercredi 21 octobre, des sites que des millions de Français consultent sans y penser ont affiché le même message : maintenance. Impôts, préfectures, Météo-France, CNIL… selon Le Figaro, une large partie d’internet a été coupée en urgence. En cause, deux vulnérabilités découvertes dans le langage qui fait tourner la majorité du web, et une décision radicale dont la logique se comprend mieux une fois les faits posés.
Impôts, préfectures, Météo-France : le jour où tout a basculé en « maintenance »
Ce mercredi, des Français ont tenté de consulter leur espace fiscal, de joindre une préfecture ou de vérifier la météo, et sont tombés sur une page de maintenance. Selon Le Figaro, il ne s’agissait pas d’un incident isolé. Une large partie de l’internet mondial aurait été temporairement désactivée dans la journée.
Côté français, le quotidien cite le site des impôts, celui de la Préfecture de Police, Météo-France, la CNIL, l’Ademe, cybermalveillance.gouv et la quasi-totalité des préfectures. Beaucoup restaient inaccessibles mercredi soir. Même la plateforme d’aide aux victimes de piratage figurait parmi les services coupés.
La consigne serait venue d’en haut. Le ministère de l’Intérieur a indiqué avoir procédé, « à la demande de l’ANSSI », à la mise en maintenance préventive de l’ensemble de ses sites exposés à une vulnérabilité. Le mot compte : préventive. On coupe avant que quelqu’un d’autre ne s’en charge.
L’affaire n’est pas qu’hexagonale. Toujours selon Le Figaro, la première ministre japonaise et l’agence de renseignement américaine NSA auraient été en pleine panique, tandis que des milliers de sites à travers le monde étaient mis hors ligne dans l’attente d’un correctif.
Ce type de mobilisation rappelle d’autres alertes, comme l’accès à des données bancaires par un acteur malveillant, qui concernait potentiellement 1,2 million de comptes. Mais ici, la faille ne viserait pas une base de données précise : elle toucherait la fondation même de nombreux sites. Et c’est là que l’histoire se complique.
Un langage que personne ne voit, mais qui fait tourner une énorme part du web
PHP n’a rien d’une marque grand public. C’est un langage de programmation qui travaille en coulisses, sur les serveurs, et qui sert à fabriquer des pages dynamiques : formulaires, espaces personnels, paiements. Le Figaro le décrit comme le langage informatique le plus utilisé de la planète.
Voilà pourquoi une faille dans PHP ne ressemble pas à un bug ordinaire. Une vulnérabilité située dans ce socle peut, en théorie, se retrouver sur des milliers de sites qui n’ont rien en commun, sinon la même brique technique. Un attaquant n’a pas besoin de choisir sa cible : il lui suffit de chercher les sites non protégés.
Dans le vocabulaire de la cybersécurité, « critique » désigne le niveau de gravité le plus élevé d’une échelle d’évaluation. Quand deux failles de ce niveau apparaissent en même temps, les équipes techniques cessent de traiter un problème et commencent à gérer une urgence.
Autre détail qui explique la tension : la découverte aurait d’abord été gardée dans le plus grand des secrets. Quand une faille de cette ampleur reste connue d’un cercle restreint, tout l’enjeu est de préparer un correctif avant que des pirates ne s’y intéressent.
Les administrations savent ce que coûte l’inaction : le piratage de France Travail, qui a exposé 340 000 demandeurs d’emploi, est encore dans les mémoires. Couper d’abord, expliquer ensuite, devient alors un réflexe de prudence.
Alors, quelle est l’ampleur exacte ? Selon Le Figaro, il s’agit de deux vulnérabilités critiques qui mettraient en péril 70 % du web mondial. Des milliers de sites ont été temporairement désactivés, pour beaucoup dans l’attente d’un correctif.
Débrancher plutôt que risquer : ce que cette décision protège vraiment
L’idée de tester la résilience du pays face à une crise majeure n’est pas nouvelle : la France prévoit d’ici 2027 une simulation grandeur nature de panne géante d’électricité. Mais cette fois, aucun exercice n’était programmé. Tout s’est joué en direct, un mercredi ordinaire.
La logique de la coupure tient en quelques mots. Tant qu’un correctif n’existe pas, un site exposé reste une porte potentiellement ouverte. La fermer limite le risque que des informations soient aspirées, même au prix d’un service public indisponible pendant des heures.
L’enjeu, selon le quotidien, c’est des millions de données personnelles potentiellement exposées. Le mot « potentiellement » est central : les éléments disponibles ne disent pas que des données ont effectivement été volées par ces failles. Le titre d’origine de l’article évoque, lui, des cyberattaques massives en préparation, ce qui expliquerait l’urgence ressentie.
Le même mercredi, Orange a fait état d’une panne touchant l’ensemble de son réseau mobile en France, y compris Sosh. L’opérateur parle d’« une défaillance d’un équipement au niveau de notre cœur de réseau mobile ». Rien, dans ces éléments, ne relie cet incident aux failles PHP : deux affaires distinctes, mais un même sentiment de fragilité.
Voilà le détail décisif : une page de maintenance n’est pas toujours une panne, c’est parfois une protection. Des sites qui disparaissent quelques heures valent mieux, aux yeux des autorités, que des fichiers de citoyens qui circulent ensuite pendant des années.
Ce qu’il faut surveiller dans les prochains jours
La première question est celle du retour à la normale. Selon Le Figaro, des milliers de sites restaient inaccessibles à l’heure de la rédaction de l’article, et beaucoup attendaient un correctif. La réouverture se fera sans doute service par service, au rythme de leur mise à jour.
Deuxième point : la vigilance du côté des particuliers. Le quotidien a publié des conseils pour que vos données personnelles ne soient pas utilisées comme des armes contre vous après le piratage de nombreux services de l’État. Le réflexe de base reste prudent : méfiance face aux messages qui se réclament d’une administration et réclament une action rapide.
Ces précautions ne sont pas théoriques. Le même média rapporte qu’une autre fuite a eu lieu par l’usurpation du compte d’un organisme partenaire, conduisant à l’extraction des données de propriétaires de chats. Une illustration modeste mais parlante : un simple accès détourné suffit à mettre des fichiers en circulation.
Reste la question de la préparation. Quand les services du quotidien s’arrêtent, le kit d’urgence que le gouvernement recommande pour tenir 72 heures reprend soudain tout son sens. Le numérique n’est plus un confort : il est devenu une infrastructure dont on ne mesure l’importance qu’à l’arrêt.
Autre scénario de coupure à garder en tête : comment se préparer à un black-out électrique en France. Les deux situations n’ont pas la même cause, mais elles posent la même question : que fait-on quand tout s’éteint ?
Deux failles dans un langage invisible ont suffi à faire passer des milliers de sites en mode survie : voilà ce que le web a de plus fragile et de plus partagé. Et si vous pensiez que les menaces qui pèsent sur l’Europe passaient forcément par les écrans, le choc « catastrophique » dont la Russie menace le continent pose une tout autre question. Et il existe pire que les pannes : cette famille bretonne ligotée chez elle pour 700 000 euros de cryptos montre jusqu’où la convoitise numérique peut aller.