Faille critique dans PHP : les sites des préfectures, des impôts et de Météo-France coupés par précaution

Les sites des préfectures, le portail des impôts et Météo-France ont été mis hors ligne mercredi 21 octobre, à la demande de l’Agence nationale de la sécurité des systèmes d’information (Anssi). En cause : deux failles critiques découvertes dans PHP, un logiciel qui fait fonctionner une grande partie des sites internet dans le monde.

Les coupures ont commencé en début d’après-midi. Parmi les sites devenus inaccessibles figurent ceux de plusieurs préfectures, dont la préfecture de police de Paris et celles d’Île-de-France, le site du ministère de l’Économie, le portail des impôts et, plus tard dans la journée, celui de Météo-France. Des médias comme Les Échos ont aussi été touchés, et Wikipédia est resté indisponible un moment.

Votre publicité ici

Faites connaître votre entreprise auprès des lecteurs d'actu-infos.fr.

Contactez-nous

Une mesure de précaution

Le ministère de l’Intérieur a expliqué avoir coupé ses sites exposés à une « vulnérabilité critique de sécurité », annoncée par l’éditeur d’un composant logiciel très répandu. Il s’agit de PHP, le moteur qui permet aux sites de produire des pages à la demande. Selon les informations disponibles, ces failles pourraient permettre à un pirate de prendre le contrôle d’un serveur à distance.

La suite est réservée aux abonnés

Abonnez-vous gratuitement pour lire la suite

Recevez l'essentiel de l'actualité des Comores, de l'Afrique et de la France dans votre boîte mail. Gratuit, en 10 secondes.

Selon l’Anssi, citée par franceinfo, plus de 600 000 serveurs utilisent ce logiciel en France. Aucune fuite de données n’a été signalée à ce stade. La mise hors ligne vise à éviter qu’un pirate exploite les failles avant l’installation des correctifs.

Un problème mondial

La France n’est pas seule concernée. Aux Pays-Bas, plusieurs sites gouvernementaux ont été fermés, dont celui du centre national de cybersécurité. Au Japon, la Première ministre a appelé la population à mettre ses systèmes à jour. Le directeur technique de l’entreprise Cloudflare a affirmé, selon Presse-Citron, observer « l’émergence de premières attaques ».

La fondation qui développe PHP a publié les correctifs mercredi vers 16 heures (heure de Paris). Elle a reconnu un retard dans leur diffusion et dit revoir le fonctionnement de son équipe de sécurité. Les administrations attendaient ces correctifs pour remettre leurs sites en ligne. Aucune date précise de rétablissement n’avait été communiquée mercredi soir.

Ce qu’il faut faire

Pour les usagers, les démarches en ligne concernées restent indisponibles tant que les sites ne sont pas rétablis. Les préfectures et Météo-France diffusent leurs informations sur leurs réseaux sociaux. Les autorités recommandent aux responsables de sites internet d’installer les mises à jour de PHP en urgence, ou de couper l’accès à leurs sites en attendant.