À retenir
- Le ministère de l’Intérieur a retiré du réseau mercredi 21 octobre les sites des préfectures, par précaution face à une faille de sécurité
- En cause, deux vulnérabilités du langage PHP, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 par ses développeurs
- Le portail de la préfecture de police de Paris renvoyait une erreur 503, service indisponible, lors de nos vérifications
- Carte grise, passeport, permis ou titre de séjour se demandent sur d’autres plateformes de l’État
Au sommaire
Les sites des préfectures du Nord, de la Gironde et du Rhône n’affichaient plus, mercredi 21 octobre, qu’une page « Maintenance en cours » renvoyant vers leurs réseaux sociaux. Le ministère de l’Intérieur indique les avoir mis hors ligne à titre de précaution, dans une déclaration rapportée par Reuters.
Le ministère attend la publication d’un correctif de sécurité par l’éditeur du cadre logiciel sur lequel reposent ces sites.
La préfecture de police de Paris répond par une erreur 503
Le portail de la préfecture de police de Paris était lui aussi inaccessible lors de nos vérifications mercredi. Son serveur renvoyait un code 503, qui signale un service momentanément indisponible.
Dans sa déclaration, le ministère ne précise ni le nombre de sites concernés ni la date de leur remise en ligne.
Deux failles PHP notées 9,2 sur 10, corrigées mercredi à 16 heures
PHP est le langage de programmation qui fait tourner une large part des sites web, dont ceux bâtis sur WordPress, Drupal ou Joomla. Ses développeurs avaient annoncé le 20 octobre deux vulnérabilités critiques, puis publié leur correction mercredi à 14 heures UTC, soit 16 heures à Paris.
Selon php.net, le site officiel du projet, les deux failles permettent d’exécuter du code à distance sur le serveur. Elles concernent toutes les installations PHP qui servent des pages web. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 les corrigent.
Le projet PHP précise qu’il n’existe aucune parade complète en dehors de la mise à jour.
Des informations techniques avaient circulé avant la sortie du correctif. Le prestataire Cloudflare dit avoir observé les premières tentatives d’attaque.
La Belgique et les Pays-Bas ont aussi débranché des sites publics
Les préfectures françaises ne sont pas les seules concernées. En Belgique, le ministre-président flamand Matthias Diependaele a ordonné la mise hors ligne temporaire des sites du gouvernement flamand fonctionnant sous PHP.
Aux Pays-Bas, plusieurs services publics ont pris la même mesure, et l’aéroport de Schiphol a suspendu son application mobile.
Carte grise, passeport, titre de séjour : d’autres sites de l’État
Plusieurs démarches courantes ne passent pas par les sites des préfectures. Carte d’identité, passeport, permis de conduire et certificat d’immatriculation se demandent sur le site de l’Agence nationale des titres sécurisés, ants.gouv.fr.
Les titres de séjour relèvent de l’Administration numérique pour les étrangers en France, dont le portail répondait lors de nos vérifications.
Seuls les sites dont l’adresse se termine par .gouv.fr sont officiels. Pendant une coupure, mieux vaut taper soi-même l’adresse d’un service public plutôt que suivre un lien reçu par SMS ou par courriel.
