Des sites web fermés dans le monde après qu’une IA a découvert une faille touchant 70 % d’Internet

Une alerte mondiale, pas une simple mise à jour

Des sites web ont été fermés dans plusieurs régions d’Europe, d’Amérique du Nord et d’Asie après la divulgation de deux vulnérabilités critiques dans PHP, le langage open source qui soutient une part importante du web [1]. Dans de nombreux cas, ces interruptions étaient préventives: des gouvernements, des agences publiques, des entreprises et des opérateurs ont retiré des services d’Internet le temps d’évaluer leur exposition, d’appliquer les correctifs d’urgence ou d’attendre l’intervention de leurs hébergeurs [1].

L’affaire est souvent résumée comme une faille touchant « 70 % d’Internet », formule qui renvoie à l’immense présence de PHP dans les systèmes de gestion de contenu, l’hébergement mutualisé, les portails publics et les sites commerciaux [6]. Ce chiffre doit être compris comme une estimation de l’exposition potentielle, et non comme la preuve que 70 % des sites ont été compromis, mais l’effet opérationnel a été massif parce que les équipes ne pouvaient pas savoir immédiatement quels systèmes étaient sûrs [6].

Reuters a rapporté que des sites gouvernementaux en Europe et ailleurs sont devenus indisponibles le mercredi 21 octobre 2026, après que la divulgation des vulnérabilités a poussé les opérateurs à protéger leurs systèmes en urgence [1]. Le même article mentionnait des interruptions ou des mesures préventives aux Pays-Bas, en Finlande, au Danemark et en France, notamment pour des services publics, des plateformes municipales et des sites administratifs [1].

Ce qui a été découvert

Le problème central n’était pas le piratage d’un site particulier, mais deux vulnérabilités dans PHP lui-même: CVE-2026-109618 et CVE-2026-109619 [3]. PHP a décrit ces deux failles comme critiques, car elles peuvent permettre l’exécution de code à distance sans authentification, c’est-à-dire donner à un attaquant la possibilité d’exécuter du code sur un serveur vulnérable sans identifiants [3].

Le projet PHP a publié des correctifs d’urgence pour les branches prises en charge avec les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, en précisant qu’aucune mesure d’atténuation ne remplaçait complètement la mise à jour [3]. Le projet a aussi rappelé que PHP 8.1 et les versions plus anciennes ne reçoivent plus de correctifs officiels de sa part, ce qui oblige certains opérateurs à dépendre de distributions Linux, de fournisseurs de support longue durée ou d’une mise à niveau complète [3].

Les vulnérabilités ont été regroupées sous le nom « php2shell », repris par des fournisseurs de sécurité et des entreprises d’infrastructure pour publier des règles de détection et de blocage [4]. Cloudflare a indiqué que les failles concernaient les serveurs web exécutant PHP 5.4 ou une version ultérieure et qu’elles pouvaient provoquer un déni de service, une exécution de code à distance ou une exposition de données lorsque du trafic HTTP spécialement conçu était traité [4].

Pourquoi l’IA change le niveau de risque

OpenAI a indiqué que les vulnérabilités avaient été identifiées dans le cadre d’un effort coordonné réunissant mainteneurs, chercheurs et fournisseurs de sécurité, et que Calif avait trouvé une faille critique avec GPT-5.6 Sol tandis que Wiz avait découvert et signalé indépendamment les deux vulnérabilités [2]. OpenAI a présenté cet épisode comme relevant de son initiative « Patch the Planet », dont l’objectif immédiat était d’aider les organisations à repérer les versions PHP vulnérables et à appliquer les correctifs appropriés [2].

L’élément important n’est pas seulement que l’IA ait aidé à trouver un bug. L’enjeu plus large est que les modèles avancés peuvent rendre pratique, rapide et reproductible une recherche de vulnérabilités extrêmement difficile, ainsi que le développement d’exploits [2]. OpenAI a expliqué que le cas PHP montrait la capacité de l’IA à mettre au jour des failles ayant un impact à l’échelle d’Internet, tout en avertissant que les mêmes capacités peuvent aussi aider des attaquants à produire rapidement des outils offensifs [2].

Cette réalité à double usage explique l’intensité de la réaction. Si les défenseurs pensent que seule une poignée de chercheurs d’élite peut exploiter une faille, un cycle de correction plus lent peut sembler acceptable; si des systèmes d’IA permettent à beaucoup d’acteurs de passer rapidement de la divulgation à l’exploitation, la fenêtre de sécurité se referme brutalement [2]. Le déploiement par Cloudflare de protections de pare-feu applicatif avant la divulgation publique reflète ce nouveau modèle de risque: les protections en périphérie peuvent réduire l’exposition immédiate, mais elles ne remplacent pas la correction de PHP [4].

Pourquoi des sites ont été coupés

Beaucoup de fermetures relevaient de la défense, et non d’une compromission confirmée. Les agences et opérateurs avaient un choix difficile: maintenir en ligne des services PHP potentiellement vulnérables pendant la propagation des correctifs, ou les retirer du web public jusqu’à ce qu’ils puissent être sécurisés [5]. Le FBI et la NSA ont alerté les opérateurs sur les deux vulnérabilités critiques et recommandé de mettre les sites hors ligne s’ils ne pouvaient pas être mis à jour immédiatement [5].

Selon la BBC, plusieurs agences de cybersécurité ont conseillé aux organisations incapables de corriger rapidement de retirer temporairement leurs sites, contribuant à des interruptions touchant notamment le gouvernement finlandais, le conseil municipal d’Édimbourg et certaines pages de la BBC [6]. L’agence néerlandaise de cybersécurité a elle-même mis son site hors ligne, tandis que la Finlande a temporairement fermé des services web publics du gouvernement [6].

La Wikimedia Foundation a aussi indiqué avoir retiré plusieurs systèmes par précaution pendant le traitement des vulnérabilités, ce qui a empêché certains utilisateurs d’accéder à certaines parties de Wikipédia mercredi [6]. Ces exemples illustrent la même logique défensive: face à une faille d’infrastructure exploitable à distance, une indisponibilité temporaire peut être moins grave qu’un serveur exposé [6].

Pourquoi le rayon d’impact est si vaste

PHP est profondément intégré dans des couches anciennes et récentes du web. Il alimente des systèmes de gestion de contenu populaires, des environnements d’hébergement mutualisé, des panneaux d’administration, des plateformes de commerce électronique et des applications sur mesure qui n’affichent pas toujours clairement leur dépendance à PHP [6].

Cette omniprésence crée un problème d’inventaire pour les défenseurs. Une grande organisation peut connaître son site principal, mais pas chaque microsite hérité, portail géré par un prestataire, passerelle d’intranet ancienne, formulaire d’envoi oublié ou runtime PHP intégré dans un produit commercial [6]. Comme l’a expliqué Don Smith, de Sophos, à la BBC, le défi immédiat n’était pas seulement d’installer un correctif, mais de trouver tous les endroits où PHP fonctionnait [6].

Les petites organisations rencontrent un autre obstacle. Beaucoup ne gèrent pas directement leurs serveurs, surtout lorsqu’elles utilisent de l’hébergement mutualisé ou des plateformes managées de type WordPress [1]. Dans ce cas, le propriétaire du site a une visibilité limitée sur la version de PHP et doit attendre que le fournisseur corrige l’environnement sous-jacent [1].

La course au correctif

L’équipe de sécurité de PHP avait déjà prévenu le 20 octobre qu’une version de sécurité critique serait publiée le 21 octobre à 14 h UTC, afin de corriger deux vulnérabilités notées 9,2 selon CVSS v4.0 [3]. Après la publication, le projet a demandé à tous les utilisateurs des versions prises en charge de passer immédiatement à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 [3].

Cloudflare a indiqué avoir participé à un effort coordonné avec la PHP Foundation, OpenAI, Wiz et d’autres acteurs, et que ses clients utilisant son WAF gratuit ou payant étaient protégés par défaut contre php2shell à partir du 21 octobre à 03 h 02 UTC [4]. Ce déploiement précoce était crucial, car une divulgation publique peut déclencher en quelques minutes du scan automatisé, l’adaptation de preuves de concept et des attaques opportunistes [4].

Mais les règles WAF ne sont pas une solution définitive. Cloudflare les a présentées comme des mesures d’atténuation, tandis que PHP a été explicite: la mise à jour est la seule solution complète et sûre [3][4].

Ce que l’incident révèle

L’épisode est un avertissement sur la concentration des dépendances. Une faiblesse dans un runtime open source largement utilisé peut placer simultanément des milliers d’organisations sans lien direct en mode crise [1]. Il met aussi en lumière l’écart entre des logiciels devenus critiques pour l’économie mondiale et des écosystèmes de maintenance qui reposent souvent sur de petites équipes, des bénévoles et des financements fragmentés [2].

Le rôle de l’IA est ambivalent. Dans ce cas, OpenAI affirme que des modèles avancés ont trouvé les vulnérabilités avant les attaquants, ouvrant une « fenêtre de défense » pour préparer correctifs et protections [2]. Mais cet avantage pourrait se réduire si des capacités comparables deviennent accessibles à des groupes criminels, à des États ou à des opportunistes peu expérimentés [2].

La leçon immédiate pour les opérateurs est concrète: inventorier l’exposition à PHP, vérifier que les systèmes exécutent des versions corrigées, examiner les journaux à la recherche d’activité suspecte et ne pas considérer le filtrage en périphérie comme un substitut à la mise à jour du runtime [3][4]. La leçon stratégique est plus large: la sécurité du web dépend désormais non seulement de notre capacité à trouver les failles plus vite, mais aussi de notre capacité à corriger l’infrastructure partagée à la vitesse à laquelle l’IA rend l’exploitation possible [2].

Développements

1. Fermeture mondiale des sites web après qu'une IA ait découvert une faille de cybersécurité majeureWRTV · 22 oct. 2026, 17:00 · 9/10
2. L'IA découvre une faille de cybersécurité affectant 70% d'Internet, provoquant des fermetures mondialesCTV News · 22 oct. 2026, 14:10 · 8/10
3. L'IA détecte une faille critique affectant le réseau mondialYahoo Tech · 22 oct. 2026, 11:55 · 8/10

Sources des dernières 72 heures

1. [1]Government websites go dark after AI-discovered flaw sparks security scramble21 oct. 2026, 09:28
2. [2]Patch the Planet: global response coordination as agents uncover critical vulnerabilities21 oct. 2026, 02:00
3. [3]PHP: News Archive - 202621 oct. 2026, 02:00
4. [4]Cloudflare deploys protections against php2shell vulnerability21 oct. 2026, 02:00
5. [5]Some websites go dark as operators address an AI-detected flaw in a web programming language21 oct. 2026, 21:01
6. [6]Websites taken down worldwide as critical cyber-security update issued22 oct. 2026, 07:57

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.