Mercredi 21 octobre 2026, plusieurs sites publics français ont affiché un message de maintenance en pleine journée : préfectures, une partie du site des impôts, la CNIL. Il ne s’agissait pas d’une cyberattaque : ces coupures étaient préventives, décidées notamment par le ministère de l’Intérieur pour ses propres sites à la demande de l’ANSSI, le temps de corriger deux failles critiques du langage PHP. Une décision rare, qui interroge toute collectivité ou PME : quand vaut-il mieux débrancher que corriger en marche ?
Préfectures, impôts, CNIL : la liste des sites coupés
D’après Maire-info, la lettre quotidienne de l’Association des maires de France, la maintenance préventive a démarré le 21 octobre. Elle a touché les sites des préfectures, une partie de celui des impôts et celui de la CNIL, ainsi que des universités comme Paris 8 et Toulouse Capitole, une partie des services en ligne de la Ville de Paris et de la Métropole de Lille, et plusieurs communes et métropoles.
Selon Next, la CNIL a basculé en maintenance vers 12 h 30, plusieurs heures avant la sortie officielle des correctifs. Pendant la coupure, les préfectures ont diffusé leurs informations pratiques sur leurs comptes officiels de réseaux sociaux, indique Maire-info. Le ministère de l’Intérieur a justifié la mesure par une faille critique annoncée quelques heures plus tôt par le responsable d’un composant logiciel générique employé dans le monde entier.
Pourquoi couper plutôt que corriger en direct
PHP fait tourner une grande partie des sites web, des formulaires et des espaces personnels en ligne. Next, s’appuyant sur Cloudflare, l’estime présent sur environ 70 % des sites, et l’ANSSI le compte sur plus de 600 000 serveurs de l’internet français. Selon Next, les deux failles permettent d’exécuter du code à distance sans s’authentifier : un attaquant pourrait lire les données, atteindre les bases, récupérer des clés d’API, voire prendre le contrôle de la machine. L’ANSSI évoque « deux vulnérabilités critiques dont l’exploitation rapide est à craindre », rapporte Maire-info.
C’est surtout le calendrier qui a pesé. L’équipe de PHP avait annoncé détails et correctifs pour le 21 octobre à 16 heures, heure de Paris, d’après Next. Or des informations sur les failles avaient fuité en ligne quelques jours plus tôt, selon Maire-info, et Next signale que des prototypes d’exploitation, non confirmés, circulaient sur les réseaux sociaux plusieurs heures avant la publication officielle. L’équipe PHP prévient que seule la mise à jour protège réellement, même si des atténuations existent dans certains cas : tant que les correctifs n’étaient pas sortis, retirer un site d’Internet restait donc le moyen le plus sûr de ne plus l’exposer.
Les correctifs sont finalement sortis un quart d’heure en avance, avec les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les sites publics sont restés fermés le temps d’installer ces mises à jour et de contrôler leur bon fonctionnement avant de rouvrir.
Une vague européenne, pas une exception française
La France n’a pas été seule à baisser le rideau. Maire-info cite le site du Parlement néerlandais et plusieurs services publics en ligne aux Pays-Bas, des sites belges, ainsi que des administrations, des hôpitaux, des universités et des médias en Allemagne. Next ajoute plusieurs services publics finlandais et, côté privé, le forum 4chan, passé temporairement en lecture seule.
Le CERT-EU, service de cybersécurité des institutions européennes, avait donné le ton dès le matin : se tenir prêt à une mise à jour immédiate et, à défaut, envisager d’« isoler les applications exposées à Internet des réseaux publics », selon Next. Une inconnue demeure : Maire-info précise qu’on ignore si les failles ont été exploitées avant d’être corrigées.
Collectivités, PME : quand faut-il débrancher ?
L’épisode fournit une grille de décision réutilisable. Couper un site se justifie quand trois conditions se cumulent : la faille donne la main à un attaquant sans identifiant, son détail circule déjà, et le correctif ne peut pas être posé puis vérifié tout de suite. C’était exactement la situation du 21 octobre. À l’inverse, un site qui tourne sur une version maintenue, chez un hébergeur capable d’appliquer la mise à jour dans l’heure, peut être corrigé en marche puis contrôlé.
Le cas le plus délicat concerne les sites restés sur d’anciennes versions. D’après Next, l’équipe PHP a bien publié des correctifs pour les branches 7.4, 8.0 et 8.1, qui ne sont plus maintenues, mais il faut les compiler soi-même. Pour une petite mairie ou une PME sans équipe technique, c’est souvent là que la coupure s’impose, et qu’elle dure. Trois réflexes en découlent :
- tenir l’inventaire des sites et formulaires qui reposent sur PHP, avec leur version et leur prestataire ;
- décider à l’avance qui a le droit de mettre un site hors ligne, pour ne pas perdre des heures en arbitrages ;
- prévoir un canal de repli pour informer les usagers, comme l’ont fait les préfectures sur les réseaux sociaux.
Maire-info rappelle enfin que la directive européenne NIS 2, qui oblige à mieux traiter les failles, à signaler les incidents et à gagner en résilience, y compris dans l’État et les collectivités, n’est toujours pas transposée en France : la Commission européenne a saisi la Cour de justice de l’Union, et l’examen du projet de loi à l’Assemblée nationale a encore été repoussé début octobre.
Questions fréquentes
Les sites des préfectures ont-ils été piratés ?
Non. Selon Maire-info, il s’agissait de maintenances préventives, demandées par l’ANSSI pour les sites du ministère de l’Intérieur, et non de la conséquence d’une attaque. On ne sait pas, en revanche, si les deux failles ont été exploitées ailleurs avant la publication des correctifs.
Quelles versions de PHP corrigent les failles ?
Les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12, publiées le 21 octobre. Pour les branches 7.4, 8.0 et 8.1, l’équipe PHP fournit des correctifs à compiler soi-même, d’après Next.
Que faire si mon site ne peut pas être mis à jour tout de suite ?
Le CERT-EU conseille d’envisager l’isolement des applications exposées à Internet, et l’équipe PHP rappelle que seul le correctif protège vraiment. Une mise en maintenance temporaire, le temps que le prestataire applique puis vérifie la mise à jour, reste l’option la plus prudente.
Sources
- Préfectures, impôts, organismes publics : pourquoi plusieurs sites internet sont en maintenance — Maire-info, 2026-10-22
- [MàJ] Failles critiques PHP : les correctifs sont en ligne et à installer rapidement — Next, 2026-10-21
- 21 octobre 2026 : retour en détail sur cette journée noire pour la cybersécurité — Next, 2026-10-22