Le 21 octobre, une bonne partie de l’internet public français a affiché une page de maintenance. Impôts, Météo-France, préfectures, la CNIL elle-même, des universités, des mairies. Personne n’avait été piraté : les exploitants avaient coupé leurs sites par précaution, à la demande de l’ANSSI, le temps d’appliquer les correctifs de deux failles critiques de PHP.
Une semaine plus tard, les sites sont revenus. Dans les SPST, les centres d’imagerie et les collectivités que j’accompagne, on me pose une question plus terre à terre : avons-nous été touchés, et devons-nous le prouver ?
Ce qui s’est passé
Les deux failles, notées 9,2 sur 10, permettent sous certaines conditions de prendre la main sur un serveur à distance sans identifiant. Le problème se situe dans le moteur PHP lui-même. Un WordPress à jour, avec des extensions à jour, pouvait donc rester exposé si le serveur tournait sur une version vulnérable.
La publication des correctifs, prévue plus tard, a été avancée au 21 octobre après une fuite. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les branches 5.x, 7.x, 8.0 et 8.1 ne sont plus maintenues : le CERT-FR recommande d’en migrer. Le 26 octobre, l’ANSSI a mis à jour son alerte pour signaler des tentatives d’exploitation.
L’ANSSI compte plus de 600 000 serveurs utilisant PHP sur l’internet français. Et le risque glisse maintenant vers des équipements que personne ne regarde : routeurs, pare-feu, boîtiers qui embarquent PHP dans leur interface d’administration.
Pourquoi un responsable de traitement est concerné
Votre site vitrine contient rarement des données sensibles. Votre extranet adhérents, votre formulaire de contact, votre portail de prise de rendez-vous ou votre espace familles, si. Un serveur compromis donne accès à ce qu’il héberge, et parfois au reste du réseau.
L’article 32 du RGPD vous impose une sécurité adaptée au risque. Une faille connue, corrigée, mais non appliquée sur votre périmètre, sera difficile à défendre si un incident survient.
Les vérifications à faire cette semaine
- Inventorier. Listez tout ce qui tourne sous PHP : site principal, sites secondaires oubliés, extranet, formulaires, outils métier en ligne, interfaces d’administration des équipements réseau.
- Vérifier les versions. Demandez à votre hébergeur ou à votre agence la version de PHP réellement exécutée sur chaque serveur et la date d’application du correctif. Demandez une réponse écrite.
- Interroger les sous-traitants. Votre éditeur de logiciel, votre plateforme de prise de rendez-vous, votre prestataire d’hébergement peuvent être exposés même si vos serveurs ne le sont pas. Posez-leur deux questions : étiez-vous concernés, et qu’avez-vous fait ?
- Regarder les journaux. Faites examiner les journaux de connexion depuis le 20 octobre au moins, à la recherche d’activité anormale.
- Garder la trace. Notez ce qui a été vérifié, quand, par qui, avec les réponses reçues. Ce dossier vous servira pour un contrôle, et il pèse depuis que le CEPD a adopté ses lignes directrices sur les amendes en septembre.
Quand l’incident devient une violation à notifier
Si l’examen révèle une exploitation qui a pu toucher des données personnelles, vous êtes face à une violation de données. Vous l’inscrivez dans votre registre des violations. Si elle présente un risque pour les personnes, vous la notifiez à la CNIL dans les 72 heures qui suivent le moment où vous en avez eu connaissance. Si le risque est élevé, des données de santé exposées par exemple, vous informez aussi les personnes concernées.
Les 72 heures courent à partir du moment où vous avez connaissance de la violation, quelle que soit la date de la faille. Une notification initiale incomplète vaut mieux qu’une notification parfaite envoyée trop tard : la CNIL accepte les compléments.
Ce que j’en retiens
Les grandes administrations ont prouvé qu’elles savaient couper vite. Beaucoup de structures plus petites ignorent en revanche sur quelle version tourne leur site, et qui saurait le leur dire un vendredi soir.
Si vous ne savez pas répondre aux cinq points ci-dessus, faites-vous aider. Nous pouvons vous transmettre la liste des questions à poser à vos prestataires et suivre leurs réponses dans DPO SUITE, où chaque vérification reste datée.
Sources : Banque des Territoires, 22 octobre 2026 ; Informatique News, 22 octobre 2026 ; Journal du Geek, 30 octobre 2026.
