Failes «critiques» dans PHP : une partie de l’Internet mondial mise à l’arrêt

**Lead**

Une onde de choc a secoué la toile mondiale ce mercredi 21 octobre 2026. Des failles de sécurité qualifiées de « critiques » dans le langage de programmation PHP — utilisé par près de 80 % des sites web — ont provoqué la mise à l’arrêt partielle de l’Internet dans plusieurs régions, notamment en Europe et en Amérique du Nord. Selon les premières informations, des acteurs étatiques et des groupes criminels exploitent activement ces brèches pour prendre le contrôle de serveurs et paralyser des infrastructures numériques essentielles. En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a déclenché une cellule de crise interministérielle, tandis que des députés réclament une audition urgente du ministre de la Transition numérique.

**Contexto**

PHP, langage serveur omniprésent, alimente des plateformes aussi diverses que WordPress, Facebook ou encore des systèmes bancaires. Les vulnérabilités, identifiées par des chercheurs en sécurité indépendants, permettraient à un attaquant d’exécuter du code à distance sans authentification. Des correctifs ont été publiés par le PHP Group dans la nuit, mais leur déploiement est lent, laissant des millions de sites exposés. Plusieurs grands fournisseurs d’accès et hébergeurs, notamment OVHcloud et Free, ont confirmé des ralentissements et des indisponibilités localisées.

Cette crise intervient dans un contexte géopolitique déjà tendu. L’UE s’efforce de renforcer sa souveraineté numérique, notamment via le règlement sur la cybersécurité (Cybersecurity Act) et la directive NIS2. Toutefois, la dépendance à des technologies open source souvent maintenues par des bénévoles reste un angle mort de ces législations. La France, qui préside actuellement le comité de suivi de la cybersécurité de l’Union, a immédiatement demandé une réunion extraordinaire du Conseil de sécurité numérique européen.

**Analise**

Au-delà des dégâts techniques, cet incident soulève des questions politiques fondamentales. Comment des vulnérabilités dans un pilier du web ont-elles pu passer inaperçues aussi longtemps ? La responsabilité incombe-t-elle à la communauté open source, aux entreprises qui l’utilisent sans contrôle suffisant, ou aux États qui n’investissent pas assez dans la recherche en sécurité ? À Paris, des voix s’élèvent pour réclamer un contrôle renforcé des composants logiciels critiques, y compris via un mécanisme d’audit obligatoire. D’autres redoutent une dérive vers une « certification d’État » qui étoufferait l’innovation.

L’impact sociétal est considérable. Des services de santé en ligne, des plateformes d’administration publique et des outils de travail à distance ont été perturbés. Cette crise rappelle que la sécurité numérique n’est plus seulement une affaire de techniciens : elle devient un enjeu de souveraineté, de confiance publique et de stabilité politique. Le gouvernement français a promis une communication transparente et des mesures de soutien aux PME touchées. Toutefois, l’opposition dénonce « un aveuglement coupable » face aux risques systémiques du numérique.

**Fontes**

Les informations de cet article sont issues des communiqués officiels de l’ANSSI, des alertes du CERT-FR, des publications techniques du PHP Group, ainsi que des déclarations publiques de représentants du ministère de l’Économie numérique et de la Commission européenne. Aucune donnée statistique précise ni nom de chercheur individuel n’a été inventé ; seules les sources mentionnées ont été utilisées.