Faille PHP : pourquoi les préfectures restent fermées ?

L'affaire a fait l'ouverture du journal de 20 h de TF1, mercredi 21 octobre. Ce jour-là, des sites publics ont disparu d'Internet les uns après les autres : préfectures, impôts, Météo-France, CNIL. Aucun piratage derrière ces coupures. L'État a choisi de débrancher ses propres serveurs par précaution, face à 2 failles critiques découvertes dans PHP, le langage qui fait tourner une grande partie du web. WordPress, Joomla ou Magento reposent sur lui, et avec eux des millions de boutiques et de blogs.

Baptisées PHP2Shell, ces vulnérabilités permettent de prendre la main sur une machine à distance, sans identifiant. Le correctif est sorti le jour même. Pourtant, jeudi matin, la plupart des sites publics affichaient toujours une page de maintenance.

Une coupure décidée avant le correctif

La chronologie explique beaucoup de choses. En temps normal, une faille de cette gravité se règle en silence. Les développeurs préparent la parade, les hébergeurs l'installent, puis l'annonce tombe. Cette fois, rien ne s'est passé dans l'ordre prévu, et les administrations ont dû choisir entre rester en ligne sans protection ou fermer boutique.

Une fuite a tout précipité

La publication coordonnée était prévue pour le jeudi 22, le temps que les hébergeurs préparent leurs mises à jour. Mais mardi, en fin d'après-midi, les identifiants des 2 failles ont fuité sur Hacker News et sur les réseaux sociaux. L'équipe de PHP a alors avancé la sortie au lendemain, 16 h. Entre-temps, des outils d'attaque circulaient déjà. Notées 9,2 sur 10 en gravité, ces brèches ouvrent le serveur à n'importe qui, sans mot de passe. Le défaut à l'origine de l'une d'elles était connu depuis 2024, sans moyen identifié de l'exploiter. Cet été, des chercheurs équipés d'outils d'intelligence artificielle ont démontré qu'il permettait bel et bien de prendre le contrôle d'une machine.

Des portails éteints dès le début d'après-midi

Le 21 octobre, les sites des préfectures de la Drôme et de l'Ardèche ne répondaient plus dès 14 h. Les versions corrigées de PHP ne sont arrivées que 2 heures plus tard. La consigne venait de l'ANSSI, l'agence chargée de la sécurité informatique de l'État. Le ministère de l'Intérieur a placé en maintenance préventive l'ensemble de ses sites exposés. Impots.gouv.fr, Météo-France et la CNIL ont suivi. Le même réflexe a joué ailleurs en Europe : les Pays-Bas et la Finlande ont, eux aussi, débranché des services publics avant la sortie de la mise à jour.

Pourquoi les sites ne rouvrent-ils pas tout de suite ?

Le correctif existe depuis mercredi 16 h, avec les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP. Pourtant, jeudi à 9 h, impots.gouv.fr et les préfectures affichaient encore leur page de maintenance. Aucune explication officielle n'accompagne ce délai. L'usager, qui pensait qu'une simple mise à jour suffirait, reste devant un écran sans réponse.

Corriger ne suffit pas

Installer la nouvelle version de PHP ferme la porte. Elle ne dit pas si quelqu'un est entré avant. Un pirate passé par là a pu laisser une porte dérobée pour revenir plus tard. Restaurer une sauvegarde ne règle rien non plus tant que la brèche reste ouverte. Les recommandations publiées depuis mercredi vont toutes dans ce sens : changer les mots de passe, puis faire analyser chaque site avant de le rallumer. Pour un parc de plusieurs centaines de services web, ce contrôle prend du temps. Dans une grande administration, chaque remise en ligne mobilise plusieurs équipes, là où un petit hébergeur peut agir dans l'heure.

Les vieux serveurs compliquent encore la tâche. PHP 8.1 et les versions antérieures ne sont plus maintenues. L'ANSSI recommande d'isoler ces machines, puis de les migrer vers une version suivie, ce qui demande bien plus qu'une nuit de travail. Or beaucoup d'organisations font tourner des applications anciennes, conçues à une époque où ces versions étaient la norme.

Un retour au compte-gouttes

Jeudi à 9 h, Météo-France était de nouveau accessible. Les préfectures et le portail des impôts, eux, restaient fermés. Selon le ministère de l'Intérieur, ces coupures relèvent d'une maintenance préventive demandée par l'ANSSI, et aucune date de retour n'était annoncée jeudi matin. Bonne nouvelle malgré tout : aucun des sites coupés n'a signalé d'intrusion. Le risque n'a pourtant rien de théorique, puisque Cloudflare signale des millions de tentatives d'exploitation à travers le monde. Le phénomène dépasse d'ailleurs les administrations françaises : des universités suisses, le Parlement néerlandais ou encore DeviantArt ont, eux aussi, mis leur site hors ligne.

Comment faire ses démarches en attendant ?

Un rendez-vous en préfecture à prendre, un titre de séjour à suivre, une déclaration à envoyer : la coupure tombe mal pour beaucoup d'usagers. Quelques solutions existent. D'autres réflexes évitent de tomber dans le piège tendu par les escrocs, très actifs dans ce genre de période.

Réseaux sociaux, affichage et espaces personnels

Le ministère de l'Intérieur indique que les préfectures publient leurs informations sur les réseaux sociaux et par voie d'affichage. Pendant sa fermeture, Météo-France a continué de diffuser ses vigilances de la même manière. Le compte officiel de chaque préfecture, sur X ou Facebook, devient donc le premier réflexe pour suivre une alerte locale. Côté impôts, la page de maintenance propose des liens de connexion : les espaces particulier et professionnel restent accessibles. Pour une démarche bloquée, mieux vaut garder une capture datée de l'écran de maintenance. Elle servira à justifier un éventuel retard.

Gare aux faux sites

Les coupures de services publics font le bonheur des fraudeurs. Un SMS promet un remboursement d'impôt, un mail invite à se connecter sur une adresse de secours. Ces messages visent l'usager pressé, qui cherche une solution rapide. La règle reste simple. Les impôts et les préfectures utilisent des adresses en .gouv.fr, et aucune administration ne réclame de coordonnées bancaires par message. Le plus sûr consiste à attendre la réouverture, puis à taper soi-même l'adresse dans le navigateur. En cas de doute, le site cybermalveillance.gouv.fr recense les arnaques en cours.