À retenir
- Le CERT-FR signale le 22 octobre des preuves de concept pour les deux failles de PHP qui ont fait couper les sites publics
- La date limite du paiement en ligne de la taxe foncière, le 20 octobre à minuit, était déjà passée au début des coupures
- Impôts service répond au 0 809 401 401, du lundi au vendredi de 8 h 30 à 19 h
- Les serveurs en PHP 8.2 à 8.5 doivent passer aux versions 8.2.35, 8.3.36, 8.4.27 ou 8.5.12
📑 Au sommaire
- PHP : deux failles notées 9,2 sur 10, coupures à partir de 14 h
- Taxe foncière : l’échéance du 20 octobre était passée avant la coupure
- Permis, passeport, titre de séjour : l’ANTS et l’ANEF sont des plateformes distinctes
- Faux mails de « mise à jour de sécurité » : le 0 805 805 817 conseille les victimes
- Sites en PHP 8.1 ou plus ancien : aucun correctif prévu
Les sites des préfectures et les pages d’accueil d’impots.gouv.fr affichent depuis mercredi 21 octobre un message de maintenance. Ces coupures sont volontaires : à la demande de l’ANSSI, les administrations ont mis leurs serveurs à l’abri pendant la correction de deux failles critiques du langage PHP.
Le ministère de l’Intérieur assure que « les équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais ». La remise en ligne se fait site par site.
PHP : deux failles notées 9,2 sur 10, coupures à partir de 14 h
PHP fait tourner, côté serveur, une grande partie des portails, espaces clients et services en ligne. Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, permettent selon le CERT-FR une exécution de code arbitraire à distance. Un attaquant peut donc prendre la main sur un serveur vulnérable.
Les préfectures de la Drôme et de l’Ardèche ont décroché les premières, mercredi vers 14 h. Celles du Nord, du Rhône, de la Gironde et la Préfecture de police ont suivi, comme Météo-France et la CNIL. Nous avions détaillé ce jour-là pourquoi l’Intérieur a coupé les sites des préfectures.
Les correctifs sont disponibles depuis le 21 octobre à 16 h, heure de Paris. Le lendemain, le CERT-FR a mis son alerte à jour : il a connaissance de preuves de concept pour certains déploiements de PHP. Le risque d’exploitation est donc plus concret qu’au premier jour, ce qui explique la prudence des administrations avant de rouvrir.
Taxe foncière : l’échéance du 20 octobre était passée avant la coupure
Les propriétaires n’ont pas été pénalisés par la panne pour la taxe foncière. Le paiement en ligne était possible jusqu’au mardi 20 octobre à minuit, soit la veille des premières coupures. Le prélèvement des paiements en ligne et des prélèvements à l’échéance est fixé au 26 octobre.
Les pages d’accueil d’impots.gouv.fr affichaient la maintenance, mais les espaces particulier et professionnel restaient accessibles par leurs liens directs.
Un contribuable qui estime avoir raté une échéance à cause de la panne peut demander une remise gracieuse de la majoration de 10 %. La demande passe par la messagerie sécurisée de l’espace particulier ou par courrier au service des impôts. Il est utile de conserver une capture d’écran datée de la page de maintenance.
Pour une question sans passer par le site, Impôts service répond au 0 809 401 401 (service gratuit et prix d’un appel), du lundi au vendredi de 8 h 30 à 19 h.
Permis, passeport, titre de séjour : l’ANTS et l’ANEF sont des plateformes distinctes
Les démarches de permis de conduire, de carte grise, de passeport et de carte d’identité passent par le site de l’ANTS. Celles des titres de séjour se font sur l’ANEF, la plateforme de l’administration numérique pour les étrangers en France. Ces deux plateformes ne sont pas hébergées sur les sites des préfectures.
Les sites préfectoraux servent surtout à informer et à prendre certains rendez-vous. Pendant la coupure, plusieurs préfectures ont relayé leurs informations sur les réseaux sociaux et par des affiches à l’accueil. Un usager déjà convoqué garde sa convocation et peut, en cas de doute, appeler le standard de sa préfecture.
Faux mails de « mise à jour de sécurité » : le 0 805 805 817 conseille les victimes
Une panne très médiatisée attire toujours les escrocs. Un courriel ou un SMS qui invite à « réactiver » un compte fiscal ou à « valider » une démarche après la maintenance doit éveiller la méfiance.
L’administration ne demande jamais un mot de passe ni des coordonnées bancaires par courriel. En cas de doute, la plateforme Info Escroqueries répond gratuitement au 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30. Le site 17Cyber.gouv.fr propose aussi une assistance en ligne.
Sites en PHP 8.1 ou plus ancien : aucun correctif prévu
Les PME, associations ou particuliers qui gèrent un site doivent vérifier leur version de PHP. Selon le CERT-FR, sont vulnérables toutes les versions 5.x, 7.x, 8.0.x et 8.1.x, ainsi que les branches 8.2 à 8.5 antérieures aux versions corrigées.
PHP ne maintient plus les versions 5.x à 8.1.x : elles ne recevront aucun correctif. Pour ces versions, la seule solution est de migrer vers une version maintenue.
En attendant la mise à jour, le CERT-FR recommande d’isoler les systèmes touchés. Deux mesures provisoires sont aussi possibles : désactiver la fonction de suivi de progression des téléversements de session dans le fichier php.ini, ou bloquer, par un pare-feu applicatif, les requêtes dont l’en-tête Content-Type est de type multipart.
🔎 Comment nous travaillons · Signaler une erreur
