Des milliers de sites étaient inaccessibles mercredi 21 octobre en France et dans toute l’Europe. En cause, une faille de sécurité de taille repérée grâce à l’intelligence artificielle.
La menace identifiée, l’agence américaine de renseignement NSA et le Centre national britannique de cybersécurité (NCSC) avaient recommandé à tous les sites utilisant le protocole de programmation PHP de se déconnecter avant d’avoir mis à jour le logiciel.
En Europe, de très nombreuses plateformes ont été suspendues, notamment celles de toutes les préfectures en France, à la demande de l’Agence de sécurité des systèmes informatiques (Anssi).
#ANSSInternational | 🌍 Ces deux derniers mois, l'ANSSI participait à de nombreux échanges à l'échelle européenne, mais également internationale, pour garantir la stabilité dans le cyberespace et renforcer notre cybersécurité. ➡️ Découvrez ces derniers rendez-vous de l'Agence : https://t.co/5T32KDOLqc
— ANSSI (@ANSSI_FR) October 21, 2026
Des plateformes de service public et de collectivités ont également été mises hors ligne en Finlande, au Royaume-Uni, en Allemagne, au Danemark, aux Pays-Bas et en Belgique.
Plus tôt mercredi, la fondation PHP, qui coordonne le développement et les évolutions de PHP, avait publié une note faisant état de deux vulnérabilités.
Le PHP, abréviation d’Hypertext Preprocessor, est un langage de programmation créé au début des années 1990 par le programmeur canado-danois Rasmus Lerdorf. Il permet d’instaurer une passerelle entre un site internet et un serveur abritant des bases de données.
Le spécialiste de cybersécurité Palo Alto Networks a indiqué mercredi avoir identifié 22 millions de plateformes exposées à ces vulnérabilités.
Two critical PHP vulnerabilities. 22M+ potentially vulnerable, exposed instances. Our Frontier Virtual Patching customers were protected before public disclosure, without downtime. @aoswal1234 explains how preemptive protection is closing the exposure gap.
— Palo Alto Networks (@PaloAltoNtwks) October 21, 2026
«PHP fait tourner environ 70% du web mondial», a décrit Sagi Tzadik, chercheur au sein du spécialiste de cybersécurité Wiz, dans un podcast publié par l’entreprise mercredi.
Une révolution en matière de cybersécurité
Mercredi 21 octobre, OpenAI (entreprise à l’origine de ChatGPT) a expliqué que les failles avaient été trouvées par l’entreprise de sécurité informatique Calif grâce à l’un de ses modèles les plus récents, GPT-5.6 Sol.
«Compte tenu de leur gravité et de la large diffusion de PHP, nous considérons ceci comme l’un des problèmes de sécurité (informatique) avec le plus gros impact, de mémoire récente», a écrit la start-up dans un message publié sur son site.
If you are wondering whether your website is affected, we have packaged a Codex skill to help check. Point your Codex at this repo to guide you through it: https://t.co/XUEbOwXuQC
— OpenAI (@OpenAI) October 21, 2026
Outre Calif, la société de cybersécurité Wiz, filiale de Google, a également mis, de son côté, le doigt sur ces lacunes, sans préciser quels modèles elle avait utilisés. «Cela montre comment l’IA peut mettre au jour des brèches dont les conséquences concernent tout internet», a ajouté OpenAI, tout en prévenant que ces mêmes capacités «(pouvaient désormais) aider des pirates (informatiques) à développer rapidement des (attaques)».
Des nouveaux risques à cause de l’IA
De l’avis général, l’IA a franchi un palier cette année sur ce plan, au point qu’Anthropic a décidé de ne pas commercialiser largement son modèle Mythos, le considérant comme trop risqué pour la cybersécurité.
Le principal rival d’OpenAI ne l’a mis à disposition que d’une poignée d’organisations afin qu’elles procèdent à des actualisations logicielles comblant les ouvertures repérées par Mythos.
L’utilisation de l’IA démultiplie le potentiel de découverte de fissures dans un logiciel mais réduit aussi sensiblement le temps de réaction des acteurs exposés à des attaques.
Grâce à l’intelligence artificielle, des pirates peuvent ainsi viser beaucoup plus de cibles qu’auparavant et dans des délais très limités.
L’incident de mercredi fait suite à une autre alerte, mardi, concernant un protocole de chiffrage appelé TLS qui garantit la confidentialité et l’intégrité des échanges sur internet.
Plusieurs exemples ont été rapportés montrant que des pirates pouvaient se faire passer pour l’utilisateur et décrypter les communications.
«Deux catégories de vulnérabilités extrêmement sérieuses ont été dévoilées en 24 heures», a réagi, sur X, Matthew Prince, patron du prestataire informatique Cloudflare, qui propose notamment des services de cybersécurité.
Two classes extremely bad cyber vulnerabilities disclosed in the last 24 hours. The first potentially impacts everyone online. The second impacts nearly everyone running a server. tl;dr: Everyone should upgrade their OS and Browser as soon as possible. If you run a server you should upgrade PHP (or ensure it’s removed if you’re not using it) as soon as possible. The first class of vulnerabilities is a set of root TLS certificates that were discovered to have a trivial private key. Literally the number 4. These roots were controlled by #eMudhra. The problem is that with that an attacker could create a certificate and, if they could get in the traffic flow, intercept traffic to any site or service. The solution is to stop trusting certificates issued by these vulnerable roots. Upgrading your browser and OS is the fastest way for most Internet users to do this. The second class of vulnerabilities doesn’t apply to most consumers directly, but does apply to most anyone running a server. These vulnerabilities have been dubbed #php2shell. PHP is one of the most widely used web programming languages. It’s estimated 70% of websites run on PHP. These vulnerabilities allow an attacker to send a crafted set of queries to a server running PHP and potentially take over the server. From there they could potentially read, modify, delete, or repurpose anything on the server. The solution is to upgrade PHP to the latest version ASAP. Even if you’re not using PHP for your web development, it’s often included by default. So make sure it is either upgraded or fully removed. @Cloudflare received advanced warning of both of these classes of vulnerabilities. We’ve ensured that where we act as a proxy we are no longer trusting the vulnerable roots. We are also reviewing certificate transparency (CT) logs for any sign the vulnerability was exploited before its disclosure. We have not found any evidence but CT logs are not perfect and a sophisticated attacker who knew about the weakness could have exploited it without a new certificate being logged. For the PHP vulnerabilities, we have deployed mitigations available for all customers for free. Because of the complexity of the vulnerabilities and number of ways it can be exploited, we also released new WAF capabilities that are unique in the industry to catch the exploit based on the response. These too are available for every Cloudflare customer for free. Even if you are taking advantage of Cloudflare’s protection, it is important to upgrade your OS, browsers, and PHP installations as soon as possible. We can provide a strong bandaid, but the best protection is to fix the underlying problem. If you’re interested in learning more, you can read our blogs: Vulnerable roots: https://t.co/TR77Zd01A0 PHP vulnerabilities: https://t.co/qTUK8i3Oww
— Matthew Prince 🌥 (@eastdakota) October 21, 2026
«La première (TLS) touche tout le monde en ligne», a-t-il averti. «La seconde quasiment tous ceux qui utilisent un serveur.»
