Une vulnérabilité critique touchant le langage PHP menace jusqu’à 70 % des sites web mondiaux. Découverte par un outil d’intelligence artificielle, la faille a provoqué une vague d’interruptions préventives de services gouvernementaux et institutionnels au Canada, en Belgique et ailleurs ce mercredi 21 octobre 2026.
La fuite sur Hacker News et la découverte par l’intelligence artificielle
L’alerte mondiale s’est déclenchée brusquement après une fuite d’informations. Le 20 octobre 2026, un utilisateur de la plateforme Hacker News sous le pseudonyme de « petecooper » a publié un message avertissant l’existence de deux failles de sécurité critiques dans PHP. L’auteur signalait alors que leur divulgation publique était initialement fixée au 22 octobre, tout en leur attribuant une note de gravité maximale de 10 sur 10.
Face à cette fuite anticipée, l’équipe de sécurité de PHP a publié en urgence un communiqué officiel le 20 octobre pour confirmer la présence de deux failles critiques, finalement notées 9,2 sur 10 selon le système CVSSv4, et a avancé la publication des correctifs de sécurité au mercredi 21 octobre 2026.
Les impacts de la mise hors ligne des services au Canada et en Europe
La découverte de cette vulnérabilité a entraîné une réaction en chaîne à l’échelle internationale. De nombreux organismes publics, entreprises et administrations ont décidé de couper l’accès à leurs portails par mesure de précaution. Au Canada, le gouvernement fédéral a volontairement fermé plusieurs de ses sites internet afin de protéger les systèmes et les renseignements des citoyens, en suivant les consignes du Centre canadien pour la cybersécurité. Le ministre de l’Intelligence artificielle, Evan Solomon, a tenu à rassurer le public en soulignant la rigueur des protocoles de protection en place.
Plusieurs sociétés d’État québécoises, dont la SAQ et la STM, ont également vu leurs plateformes devenir inaccessibles en fin d’avant-midi. Le Centre de services scolaire Marie-Victorin a emboîté le pas en confirmant une interruption de service similaire sur ses sites web. En Belgique, la situation a touché des structures clés : le ministre-président Matthias Diependaele a ordonné la fermeture des portails officiels de la Région flamande et du Parlement flamand, tandis que les plateformes informatives du SPF Finances sont devenues temporairement indisponibles.
Le groupe de presse DPG Media, les magazines de l’éditeur Roularta, la plateforme pédagogique Smartschool ainsi que les sites d’hôpitaux anversois et de la VRT ont également suspendu leurs activités web. Aux Pays-Bas, l’aéroport d’Amsterdam Schiphol a mis son application mobile en pause, et l’Autorité portuaire de Rotterdam a isolé son portail. Du côté américain, la NSA a immédiatement recommandé l’application de la mise à jour corrective de PHP.
La nature technique des failles et les mesures d’urgence déployées
Le langage de programmation PHP sert de passerelle transitoire entre les interfaces graphiques consultées sur les écrans d’ordinateurs et les serveurs d’hébergement, faisant fonctionner environ 70 % des sites internet mondiaux. Les deux vulnérabilités identifiées sous les références CVE-2026-109618 et CVE-2026-109619 concernent toutes les versions de PHP depuis PHP 5, d’après les analyses du CERT-EU.
Ces brèches permettent potentiellement à une personne externe d’exécuter du code à distance sur un serveur vulnérable, et ce, sans nécessiter la moindre authentification préalable. L’expert en cybersécurité Jean-Philippe Décarie-Mathieu a souligné que si les correctifs majeurs bénéficient d’un déploiement rapide pour les grands systèmes comme WordPress, les risques persistent pour les appareils et systèmes embarqués dont la maintenance logicielle est souvent négligée. Dès la matinée du 21 octobre, l’entreprise Cloudflare a indiqué avoir repéré les premières tentatives d’exploitation de ces failles, l’amenant à activer des règles de protection temporaires pour l’ensemble de ses clients, y compris ceux de l’offre gratuite.