Pourquoi des États ont coupé leurs sites pendant PHP2Shell

Si vous dirigez une petite entreprise avec un site vitrine, une boutique WooCommerce ou un outil métier en Laravel, cet article s'adresse à vous. Le 21 octobre 2026, pendant la faille PHP2Shell, plusieurs États européens ont mis hors ligne une partie de leurs propres sites, alors qu'aucune attaque n'était constatée. Nous reprenons ici ce qui s'est passé en France, aux Pays-Bas, en Finlande et en Belgique, puis ce que ces coupures de sites publics apprennent à une petite structure. Pour la marche à suivre technique (version de PHP, mise à jour, traces), voyez notre article sur la mise à jour de PHP face à PHP2Shell.

Ce qui s'est passé le 21 octobre, pays par pays

En France, plusieurs sites de préfectures sont devenus inaccessibles le 21 octobre après-midi, dont celui de la préfecture de police de Paris, selon franceinfo. Le ministère de l'Intérieur a expliqué avoir procédé, « à la demande de l'ANSSI », à « la mise en maintenance préventive de l'ensemble de ses sites Internet exposés », d'après CNews. Le 22 octobre au matin, selon France 2, le site des impôts et les comptes de l'Assurance maladie étaient encore bloqués.

Aux Pays-Bas, le gouvernement a annoncé le 21 octobre que plusieurs sites publics étaient mis hors ligne par précaution, dont Overheid.nl, MijnOverheid.nl et DigiD, alors qu'il n'y avait « pas encore de signes » d'exploitation active (Rijksoverheid). La chaîne publique NOS ajoute le site de la Tweede Kamer, celui du centre national de cybersécurité (NCSC) et celui de l'autorité de protection des données.

En Finlande, c'est Valtori, le centre informatique de l'État qui maintient les sites publics, qui a commencé à les couper en début d'après-midi, selon Yle. Le site de l'Institut national de topographie (Maanmittauslaitos) faisait partie des premiers.

En Belgique, la police fédérale a mis ses sites hors ligne en gardant le numéro d'urgence 101, la Région flamande a coupé ses sites sous PHP à la demande de son ministre-président, et les sites d'information du SPF Finances ont été suspendus, d'après la RTBF. Le site du Centre pour la cybersécurité Belgique (CCB) lui-même était hors ligne.

Pourquoi couper un site avant toute attaque

Dans les quatre pays, la décision a été prise sans intrusion constatée. Le NCSC néerlandais résume le raisonnement : tant que la mise à jour n'est pas faite, tout système contenant PHP et joignable depuis Internet est « probablement vulnérable » (NOS).

Les agences l'ont formulé chacune à leur façon. Aux Pays-Bas, le NCSC a conseillé à chaque propriétaire de site de faire sa propre évaluation du risque et, éventuellement, de mettre son site hors ligne en attendant la mise à jour (Rijksoverheid). En Belgique, le CCB recommande, si l'on ne peut pas installer le correctif tout de suite, d'envisager la mise hors ligne ou la restriction de l'accès public (avis du CCB). Au niveau européen, le CERT-EU conseille d'isoler les applications exposées tant que le correctif n'est pas appliqué et vérifié.

Ce point mérite d'être retenu : couper n'était pas une obligation imposée d'en haut, mais un choix laissé à chaque organisation, sur la base d'une évaluation du risque. En Finlande, le directeur de Valtori a jugé après coup que la fermeture avait été une protection efficace, faute de toute preuve d'exploitation ou de tentative (Yle, 22 octobre).

Ce que les coupures révèlent : savoir sur quoi tourne chaque site

Un détail revient dans plusieurs pays : les sites qui n'utilisent pas PHP sont restés en ligne. Aux Pays-Bas, le gouvernement précise qu'une grande partie de ses sites, dont Rijksoverheid.nl, ne tourne pas sous PHP et n'était donc pas concernée (Rijksoverheid). En Belgique, l'espace MyMinfin du SPF Finances, qui ne fonctionne pas sur cette technologie, est resté accessible (RTBF).

Pour couper seulement ce qui est exposé, il faut donc savoir précisément quel service repose sur quelle technologie. C'est la première étape que recommande le CCB : inventorier toutes les installations PHP, y compris celles embarquées dans des logiciels tiers ou des panneaux d'hébergement comme cPanel et Plesk (CCB). Une organisation qui ne le sait pas doit tout couper, ou tout laisser ouvert.

Ce que coûte une coupure, même de précaution

Couper un site a des effets que l'on ne voit pas forcément venir. En Finlande, des services d'identification en ligne de l'administration ont connu des problèmes alors qu'ils n'utilisent pas PHP : Valtori avait durci les pare-feu sur les connexions publiques, ce qui a perturbé l'identification Suomi.fi à partir de 16h environ, heure finlandaise, selon Eero Konttaniemi, directeur du développement et des systèmes d'information de l'Agence des services numériques et de la population, cité par Yle. Le même article rapporte que remettre tous les services en route pourrait prendre des jours, voire des semaines, selon le nombre de systèmes à mettre à jour et les tests nécessaires.

La coupure pose aussi la question de la communication. En France, le ministère de l'Intérieur a annoncé que les préfectures publieraient leurs informations sur les réseaux sociaux et par voie d'affichage pendant la maintenance (CNews). La police fédérale belge, elle, a rappelé que le 101 restait joignable (RTBF). Dans les deux cas, un canal de secours était prévu.

Transposer ces leçons à une petite entreprise

Une TPE n'a ni ANSSI ni Valtori, mais elle peut se poser les mêmes questions avant la prochaine alerte. Les réponses tiennent souvent sur une page :

• Quels sites et services avez-vous, et sur quoi tournent-ils ? Site vitrine, boutique, outil interne, formulaire de devis : notez pour chacun la technologie, l'hébergeur et qui le maintient.
• Qui a le droit de décider de couper ? Le dirigeant, l'agence, l'hébergeur ? Mieux vaut le savoir avant une soirée de crise.
• Combien coûte une journée hors ligne ? Pour une boutique, c'est un chiffre d'affaires ; pour un site vitrine, souvent peu de chose. Cela aide à arbitrer entre couper et attendre.
• Par où prévenir vos clients ? Un message sur vos réseaux, un e-mail, un numéro de téléphone qui reste joignable, comme le 101 belge.

Ces quatre réponses ne corrigent aucune faille. Elles permettent en revanche de décider vite et calmement le jour où une alerte tombe, au lieu de découvrir en pleine urgence qu'on ne sait pas ce qui tourne où.

Ce qu'il faut retenir

Le 21 octobre, la France, les Pays-Bas, la Finlande et la Belgique ont coupé une partie de leurs sites par précaution, sans attaque constatée. Ceux qui savaient quelle technologie faisait tourner chaque site ont pu laisser le reste en ligne. Une coupure a des effets de bord et demande un canal de communication de secours. Pour une petite entreprise, la leçon est simple : un inventaire à jour et une décision préparée.

Si vous voulez dresser cet inventaire et préparer la marche à suivre pour la prochaine alerte, c'est ce que couvre notre offre de maintenance.