Mercredi 21 octobre 2026, des millions d’usagers ont trouvé porte close sur certains des sites les plus consultés du service public français. Ameli, le site des impôts, la CAF, l’URSSAF ou encore Météo-France sont devenus inaccessibles en quelques heures. Pas de panique côté cybersécurité : il ne s’agit pas d’un piratage, mais d’une faille critique découverte dans PHP, le langage de programmation qui fait tourner une très grande partie du web, y compris de nombreux sites administratifs.
Que s’est-il passé exactement ?
Deux vulnérabilités ont été identifiées dans PHP sous les références CVE-2026-109618 et CVE-2026-109619. Leur score de gravité atteint 9,2 sur 10 : concrètement, elles permettent à un attaquant d’envoyer une requête spécialement construite pour faire exécuter ses propres instructions par le serveur visé, sans avoir besoin d’un mot de passe. Face à ce risque, plusieurs administrations ont choisi de couper leurs services par précaution, le temps d’appliquer les correctifs, plutôt que d’attendre une attaque réelle. Le portail amelipro, réservé aux professionnels de santé, a par exemple été fermé à titre conservatoire dès l’annonce de la faille.
Quels services ont été concernés
- Le site de l’Assurance maladie, Ameli, et son portail professionnel amelipro
- Impots.gouv.fr, pour les démarches fiscales en ligne
- Les sites de la CAF et de l’URSSAF
- Plusieurs préfectures et la préfecture de police
- Météo-France et le CNES
Beaucoup de ces plateformes fonctionnent comme n’importe quel site internet grand public : un socle de code serveur, ici PHP, qui doit rester à jour pour éviter d’ouvrir une porte dérobée aux pirates. Une démarche administrative en ligne, qu’il s’agisse d’une déclaration fiscale ou d’une démarche comme celle du Pass’Sport, repose sur les mêmes briques techniques fragilisées par cette faille.
Ce qui a été fait, et ce qui change pour vous
L’équipe de développement de PHP a réagi le jour même en publiant des correctifs pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, avec une consigne claire adressée à tous les hébergeurs : mettre à jour sans attendre. Un troisième problème, référencé CVE-2026-115560, a été signalé deux jours plus tard, le 23 octobre, mais il ne concerne que des configurations serveur peu courantes.
Pour l’usager, la conséquence est surtout pratique : tant qu’un site reste en maintenance, mieux vaut privilégier les démarches par téléphone ou se tourner, pour les questions bancaires liées à un prélèvement ou un remboursement, vers le numéro de service client de sa banque. Les délais pour les démarches fiscales ou sociales en cours ont généralement été prolongés par les administrations concernées le temps du retour à la normale.
Cet épisode illustre aussi un phénomène plus large : la rapidité avec laquelle des failles informatiques sont aujourd’hui découvertes et exploitées pousse éditeurs de logiciels et administrations à réagir dans l’urgence, parfois en coupant l’accès plutôt qu’en prenant le risque d’une intrusion.
Questions fréquentes
Mon compte Ameli ou mes données personnelles ont-ils été piratés ?
Non, selon les informations disponibles, les sites ont été mis hors ligne par précaution avant qu’une attaque ne soit constatée, et non après une intrusion confirmée. La coupure visait justement à éviter toute exploitation de la faille.
Pourquoi une faille dans PHP peut-elle toucher autant de sites différents ?
PHP est un langage utilisé par une part très importante des sites web dans le monde, y compris de nombreuses administrations françaises. Une faille à ce niveau du socle technique affecte donc potentiellement tous les sites qui n’ont pas encore appliqué le correctif.
Que faire si une démarche administrative urgente est bloquée ?
Il est conseillé de contacter l’administration par téléphone, de vérifier les éventuels délais supplémentaires accordés officiellement, et de réessayer la démarche en ligne une fois le site annoncé de nouveau disponible.
Sources
Clubic —
BugAlert —
Les Actus du Net
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale