Depuis mercredi, les portails d’Ameli, de la CAF, des impôts, de l’URSSAF, de Météo France et du CNES affichent des pages de maintenance ou refusent les connexions. Ces interruptions résultent d’une fermeture préventive décidée par les administrations pour protéger leurs infrastructures contre deux failles critiques découvertes dans le langage PHP.
Surnommées PHP2Shell et référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619, ces brèches affichent un score de gravité de 9,2 sur 10. Elles permettent à un attaquant d’exécuter des commandes à distance sur un serveur web sans aucun mot de passe, en particulier sur les architectures associant Apache au module mod_php où l’exploitation se déclenche avant même l’exécution du code du site.
Les équipes de PHP ont publié dans l’urgence les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35 mercredi à 16 heures, accompagnées de rustines à compiler manuellement pour les anciennes branches 7.4, 8.0 et 8.1. Comme les détails techniques de l’attaque sont désormais publics, le CERT-FR a demandé d’isoler immédiatement toutes les machines exposées le temps d’appliquer les mises à jour.
Pour les équipes techniques des ministères et des caisses nationales, la difficulté consiste à repérer toutes les instances de PHP, parfois enfouies dans des briques logicielles tierces, puis à vérifier l’absence de fichiers suspects avant de rouvrir les accès. Couper temporairement les serveurs évite une fuite de données personnelles le temps de nettoyer le parc informatique.
Aucun organisme public n’a signalé d’intrusion ou de vol de fichiers à ce stade. Les usagers n’ont aucune démarche de sécurité à effectuer de leur côté, et la CAF confirme que les délais habituels de déclaration restent maintenus jusqu’au début du mois prochain malgré la coupure.
![[Valid RSS]](https://www.techcroute.com/wp-content/uploads/2023/02/valid-rss-rogers.png "Validate my RSS feed")
 sont hors service par précaution. Découvrez comment les failles critiques PHP2Shell bloquent ces portails.){kind=link}