Christophe Séfrin
L'essentiel
- Journée noire ce 21 octobre pour le World Wide Web avec l’apparition de deux failles majeures de sécurité qui pourraient menacer 70 % des sites mondiaux.
- Impliquant un langage de communication créé dans les années 1990, ces failles permettraient aux cybercriminels de prendre le contrôle d’innombrables plateformes.
- En attendant d’appliquer les correctifs disponibles, de nombreux sites, notamment institutionnels comme en France celui des impôts ou du Ministère de l’intérieur, ne sont délibérément plus accessibles et officiellement en maintenance.
Les responsables cybersécurité de très nombreuses entreprises, mais aussi de sites officiels, comme ceux de l’État français sont sur les nerfs depuis ce jeudi 21 octobre. Des failles dites « PHP » rendraient leurs plateformes vulnérables. Une course contre la montre est donc engagée afin d’éviter que des pirates informatiques n’en profitent pour livrer des actions d’envergure.
70 % des sites Web mondiaux concernés
Leur gravité est évaluée à 9,2 sur 10. Les deux failles PHP révélées ce mardi 20 octobre ont mis tout l’Internet en émoi. PHP ? Il s’agit d’un langage de programmation créé au début des années 1990 et utilisé par 70 % des sites Web dans le monde, soit des dizaines de millions de plateformes. Et pour une fois, on peut dire « merci » à l’intelligence artificielle pour les avoir débusquées !
Ce sont ainsi des chercheurs des sociétés de cybersécurité Wiz et Calif qui, à l’aide de Gemini 4 Argon de Google et GPT d’OpenAI, sont parvenus à trouver ce que l’on peut considérer comme de véritables portes d’entrées pour les cybercriminels. « Cette trouvaille a été gardée secrète le temps qu’un correctif soit élaboré », précise l’AFP.
Car ici, pas besoin de « clé », de code, et encore moins de mot de passe pour « accéder directement au système de fichier ou à la base de données d’un serveur », a précisé l’agence de renseignement américaine de renseignement NSA : une personne malveillante n’a qu’à se servir ! Comme en accédant à l’ensemble des données clients d’un site marchand ; aux données personnelles de personnes inscrites sur un site gouvernemental comme celui des impôts ; mais aussi en faisant tourner un programme tiers sur le serveur hébergeant le site, ou en installant une porte dérobée pour une future cyberattaque. Le risque est bel et bien majeur !
Des sites institutionnels en maintenance
Ainsi d’innombrables sites ont-ils préféré se mettre hors ligne le temps d’installer les correctifs nécessaires. Autrement dit, de verrouiller les portes ouvertes (certaines l’étaient depuis quatorze ans !). C’est le cas de nombreux sites institutionnels aux États-Unis, en Finlande, en Allemagne, au Danemark, au Royaume-Uni ou en France qui ont préféré « débrancher » des sites officiels comme, dans l’Hexagone, ceux des ministères de l’Intérieur ou de la Culture, de l’Intérieur, des impôts qui étaient encore en « maintenance » préventive ce jeudi matin. Ceux de Météo-France ou de la Ville de Paris qui avaient été fermés préventivement ont réouvert leurs portes ce jeudi.
Notre dossier «Cybersécurité»Attention : il n’est ici question de cyber attaque massive, mais bien de failles de sécurité (référencées CVE-2026-109618 et CVE-2026-109619) qui nécessitent des correctifs. Ceux-ci sont disponibles sur le site de l’éditeur (depuis le mercredi 21 octobre, à 16 heures), comme le précise sur son site l’Agence nationale de sécurité des systèmes d’information (ANSSI). Bien que l’alerte ait été donnée en amont et que ces failles, connues, n’aient été rendues publiques que le 20 octobre, plusieurs informations convergent, indiquant que des cybercriminels n’ont pas attendant pour livrer des cyberattaques… fomentées grâce à l’IA.
