Pourquoi des sites gouvernementaux sont hors ligne dans le monde : les failles critiques PHP expliquées

Mis à jour le 22 octobre 2026. Les causes des indisponibilités de certains sites marocains n’ont pas été confirmées individuellement.

Des sites gouvernementaux, des hôpitaux et d’autres services publics sont temporairement devenus inaccessibles dans plusieurs pays. Derrière de nombreuses pages de maintenance se trouve une alerte internationale concernant deux vulnérabilités critiques de PHP.

Le point essentiel : un site hors ligne n’est pas nécessairement un site piraté. Plusieurs administrations ont délibérément suspendu leurs portails pour appliquer des correctifs et réduire le risque d’intrusion.

1. Que s’est-il passé avec PHP ?

Le 20 octobre 2026, les responsables de PHP ont annoncé deux failles critiques, évaluées chacune à 9,2/10 sur l’échelle CVSS 4.0. Des correctifs sont sortis le 21 octobre. Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 peuvent permettre l’exécution de code à distance sans authentification dans les configurations affectées.

La première concerne une corruption de mémoire lors de certains traitements d’épuisement de mémoire. La seconde implique un état interne pouvant subsister après libération de mémoire. PHP traitant les requêtes, sessions, formulaires et interactions avec les bases de données, les conséquences potentielles dépassent un simple problème d’affichage.

L’utilisation de PHP ne prouve cependant ni qu’un site est vulnérable ni qu’il a subi une intrusion. La version exacte, la configuration et les correctifs installés sont déterminants. Consultez l’avis officiel PHP et le CERT-EU.

2. Pourquoi les administrations ferment-elles leurs sites ?

Les administrations peuvent traiter des informations sensibles et assurer des services essentiels. Lorsqu’elles ne peuvent pas installer immédiatement un correctif, les autorités de cybersécurité conseillent d’envisager l’isolement temporaire des applications exposées à Internet.

Une page de maintenance peut représenter une mesure de protection, et non la conséquence d’un piratage confirmé.

Les équipes peuvent alors sauvegarder leurs données, mettre à jour les composants, redémarrer les services, tester les fonctions et analyser les journaux. D’autres causes restent possibles pour un site donné : maintenance habituelle, incident réseau ou panne indépendante.

3. Quels sites et pays ont été concernés ?

Selon Reuters, le 21 octobre, plusieurs institutions ont communiqué sur des interruptions ou des décisions préventives. Il s’agit d’exemples historiques, pas d’une mesure en temps réel de leur disponibilité au 22 octobre.

France : sites des préfectures

Le ministère de l’Intérieur a confirmé la suspension temporaire des sites des préfectures en attendant un correctif de sécurité du framework PHP utilisé.

Allemagne : services fédéraux

Le prestataire fédéral ITZBund a désactivé plusieurs sites gouvernementaux à titre préventif. Aucun incident de sécurité lié à cette mesure n’était connu au moment de la déclaration officielle.

Pays-Bas : Overheid.nl, hôpitaux et organisations

Les exemples rapportés comprennent Overheid.nl, le port de Rotterdam, la fédération de football KNVB, des partis politiques et de nombreux hôpitaux.

Finlande : services numériques publics

Le centre informatique public Valtori a interrompu des services web gouvernementaux par précaution, sans tentative d’exploitation identifiée ni fuite de données confirmée au moment de son annonce.

Belgique : ministère des Affaires étrangères

Le ministère a suspendu temporairement ses sites en raison des risques signalés, tandis que le centre national de cybersécurité indiquait ne pas avoir enregistré d’attaques contre des sites belges au moment considéré.

République tchèque : site du gouvernement

Le gouvernement a mis son portail hors ligne le 21 octobre afin d’appliquer les correctifs recommandés par son autorité de cybersécurité.

Wikimedia : plusieurs systèmes

La fondation soutenant Wikipédia a désactivé certains systèmes pendant les travaux de sécurisation. Cela ne signifie pas que tous les services Wikipédia étaient continuellement indisponibles.

4. Qu’en est-il du Maroc et de marchespublics.gov.ma ?

Selon Médias24, la DGSSI marocaine a publié une alerte critique sur les vulnérabilités PHP, parfois appelées PHP2Shell, et sur la disponibilité de preuves de concept d’exploitation.

Le média cite également une statistique W3Techs : 75,4 % des sites .ma dont le langage serveur est identifiable utilisent PHP. Ce chiffre mesure l’adoption technologique, et non la proportion de sites piratés, vulnérables ou en maintenance.

Pourquoi le portail des marchés publics ne fonctionne-t-il pas ?

Le portail marchespublics.gov.ma est essentiel pour les entreprises qui suivent les appels d’offres publics. L’incident mondial PHP constitue un contexte plausible si le site affiche une erreur. Mais au 22 octobre 2026, aucune déclaration officielle vérifiée dans cette enquête ne permet d’attribuer une indisponibilité précise de cette plateforme aux deux failles. Il faut consulter la communication de l’administration responsable, notamment en présence d’échéances de dépôt.

5. Pourquoi PHP est-il si largement concerné ?

PHP est utilisé dans WordPress, Drupal, diverses plateformes e-commerce et des applications développées sur mesure. Sa popularité facilite la création de sites, mais une faiblesse importante dans ce composant commun peut exiger des interventions simultanées chez des milliers d’organisations.

Cela ne signifie pas que PHP est intrinsèquement inadapté aux projets professionnels. Toute technologie nécessite des versions prises en charge, des mises à jour rapides et une responsabilité opérationnelle clairement définie.

6. Le rôle de l’intelligence artificielle

Selon OpenAI, l’organisation Calif a identifié une faille critique avec l’aide de GPT-5.6 Sol, tandis que Wiz a indépendamment découvert et signalé les deux vulnérabilités. Les mainteneurs PHP ont dirigé la publication des correctifs avec une coordination impliquant notamment OpenAI, Wiz et Cloudflare.

Cette préparation s’est déroulée sur environ deux mois. L’IA peut aider les défenseurs à découvrir plus tôt des failles complexes ; des acteurs malveillants peuvent également exploiter des capacités semblables. La vitesse de déploiement des correctifs devient essentielle.

7. Que doivent faire les propriétaires de sites ?

• Identifier la version PHP réellement exécutée en production auprès de l’hébergeur.
• Appliquer les correctifs officiels : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, selon la branche utilisée.
• Contrôler les correctifs fournisseur : certaines distributions Linux proposent des versions corrigées par rétroportage.
• Prévoir la migration : PHP 8.1 et les versions antérieures ne reçoivent plus les correctifs habituels directement du projet PHP.
• Limiter l’exposition : envisager l’isolement temporaire si la mise à jour est impossible ; les atténuations partielles ne remplacent pas le correctif.
• Sauvegarder et tester : connexions, formulaires, paiements, transferts de fichiers et tableaux de bord.
• Communiquer clairement : afficher une information de maintenance fiable et éviter les affirmations non vérifiées sur une éventuelle fuite de données.

8. La leçon pour les entreprises modernes

Un site web est un produit vivant. Son identité visuelle, son expérience utilisateur, sa disponibilité et sa sécurité contribuent ensemble à la confiance. Une interface remarquable ne compense pas un serveur non maintenu.

Chez Blan Studio, notre modèle de design par abonnement accompagne les startups et entreprises modernes dans leur branding, leurs interfaces et leurs expériences digitales. Découvrez nos services sur wablan.com. L’audit de sécurité et la maintenance des serveurs doivent être confiés à des professionnels techniques qualifiés.

9. FAQ : sites gouvernementaux en panne et failles PHP

Pourquoi les sites gouvernementaux sont-ils hors ligne ?

Certains portails ont été suspendus à titre préventif à la suite des failles PHP. D’autres interruptions peuvent avoir des causes indépendantes.

Pourquoi les préfectures françaises sont-elles en maintenance ?

Le ministère de l’Intérieur a annoncé une fermeture temporaire liée à une précaution de sécurité du framework PHP.

Pourquoi Overheid.nl était-il indisponible ?

Ce portail néerlandais figure parmi les sites signalés comme temporairement désactivés dans la réponse à la crise.

Pourquoi marchespublics.gov.ma ne fonctionne-t-il pas ?

La cause précise doit être confirmée par l’administration responsable. Nous ne disposons pas de preuve officielle que PHP2Shell explique une indisponibilité spécifique.

Les sites marocains sont-ils touchés ?

La DGSSI aurait émis une alerte critique. Cela ne prouve pas la cause de panne de chaque site gouvernemental marocain.

Est-ce une cyberattaque mondiale ?

Il s’agit d’une crise mondiale de cybersécurité avec des arrêts préventifs, pas d’une preuve d’intrusion réussie sur tous les sites.

Les sites WordPress sont-ils concernés ?

Les installations utilisant un environnement PHP affecté doivent vérifier et corriger le runtime, indépendamment des mises à jour WordPress.

75,4 % des sites marocains ont-ils été piratés ?

Non. Ce pourcentage concerne l’utilisation de PHP dans un échantillon de sites .ma, pas les compromissions.

Les correctifs sont-ils disponibles ?

Oui, depuis le 21 octobre, mais chaque opérateur doit les installer et les vérifier.

Quand les sites seront-ils rétablis ?

Chaque institution dispose de son propre calendrier de vérification et de réouverture.

Dois-je modifier mon mot de passe ?

Une interruption préventive n’implique pas une fuite. Suivez les consignes du service concerné et utilisez l’authentification multifacteur.

L’IA a-t-elle découvert les failles ?

La recherche assistée par IA a contribué à la découverte ; Wiz a également découvert indépendamment les deux problèmes.

Sources

• PHP : annonces officielles
• CERT-EU : avis 2026-018
• Reuters : sites temporairement hors ligne
• Médias24 : alerte au Maroc
• OpenAI : Patch the Planet

Note : informations établies à partir des sources disponibles au 22 octobre 2026. Une page indisponible ne suffit pas à prouver un piratage ni sa cause.