Une journée de maintenance forcée
Mercredi 21 octobre, vers midi. Des sites de préfectures passent hors ligne. Puis impots.gouv.fr, la CNIL, l'Ademe, la CRE. Aucun n'a été piraté. Tous attendent un correctif. Deux failles de PHP, notées 9,2 sur 10, viennent de fuiter la veille au soir, avant la publication officielle prévue le lendemain. Les administrations préfèrent couper.
Ce que l'on sait des vulnérabilités
Deux identifiants : CVE-2026-109618 et CVE-2026-109619. Dans certaines configurations, elles permettent une exécution de code à distance sans authentification. En cause, un mécanisme de la gestion des sessions, activé par défaut. Les branches 8.2 à 8.5 sont corrigées depuis le 21 octobre en fin d'après-midi, avec les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Pour tout ce qui précède, de PHP 5 à 8.1, rien. Ces versions ne sont plus maintenues. Il faut isoler, puis migrer.
L'ANSSI a publié une alerte. Cybermalveillance.gouv.fr juge probable une exploitation rapide et massive.
Le vrai problème : l'inventaire
PHP fait tourner près de 70 % des sites dont la technologie serveur est connue. L'ampleur de l'épisode tient moins à la faille qu'à la question qu'elle pose. Quelles versions tournent, et où ? Serveurs physiques, conteneurs, hébergements mutualisés, sites confiés à une agence il y a cinq ans. Beaucoup d'organisations ont mis des heures à répondre. Certaines n'y sont toujours pas arrivées.
Quand on ne sait pas qualifier son exposition, il ne reste qu'une option. Couper.
Industrialiser la réponse
La bonne nouvelle, c'est que tout cela se prépare. Un inventaire des versions alimenté automatiquement, plutôt qu'un tableur mis à jour à la main. Des images de base maintenues centralement, pour que la correction d'une dépendance se propage à toutes les applications. Une chaîne de déploiement capable de pousser un correctif hors du cycle habituel, en quelques heures.
Côté contrats, un point mérite d'être vérifié. Les contrats de maintenance prévoient-ils un délai maximal d'application des correctifs critiques ? Souvent, non. Ou alors en termes vagues.
Et reste la dette. Chaque application encore en PHP 7 ou 8.1 est une exposition qui n'aura jamais de correctif. La migration n'est plus un chantier de confort.
