Dans le billet précédent, il était question de messages viraux qui mêlaient conseils de préparation britanniques, propos détournés de Bill Gates et annonces de « cyber attaque géante ». Un événement réel est venu s'ajouter à ce tableau le 21 octobre : des sites publics ont été mis hors ligne dans plusieurs pays. Voici ce qui s'est passé, et ce que l'on peut en dire sans extrapoler.
Ce qui s'est passé
Le 21 octobre 2026, deux failles critiques ont été signalées dans PHP, langage qui fait tourner une large part du web. PHP est utilisé par près de 70 % des sites dont le langage serveur est connu, et il est à la base de WordPress, Drupal, Joomla ou Magento. L'agence américaine NSA a averti que ce type de faille ouvre souvent un accès direct au système de fichiers ou à la base de données d'un serveur.
Par précaution, de nombreux sites ont été coupés en attendant les correctifs :
- Pays-Bas : le centre national de cybersécurité, le portail gouvernemental Overheid.nl, le port de Rotterdam, des hôpitaux et des sites de partis politiques ;
- Finlande : les services publics de réseau gérés par l'opérateur d'État Valtori ;
- France : les sites des préfectures, placés en « maintenance préventive » ;
- Allemagne, Belgique, République Tchèque : plusieurs sites gouvernementaux ;
- Royaume-Uni : l'Office for Budget Responsibility et des conseils locaux ;
- Australie : le site cyber.gov.au et d'autres sites publics.
Les développeurs de PHP ont publié des correctifs le jour même. Les agences de cyber sécurité de plusieurs pays ont recommandé de mettre à jour sans délai, ou de couper les sites vulnérables. Un point d'attention pour les petits sites : la société Wordfence a averti que les mises à jour automatiques de WordPress ne règlent pas nécessairement le problème de PHP.
Un rôle central pour l'intelligence artificielle
Selon Wiz, société de sécurité, la découverte a mobilisé son propre outil de recherche autonome, ainsi que des modèles d'IA de Google et d'OpenAI, en coordination avec l'équipe PHP. La fondation PHP en tire une leçon sobre : les outils trouvent désormais des failles plus vite que jamais, au bénéfice des défenseurs comme des attaquants, et le nombre de signalements va continuer de croître.
Cet épisode donne un contexte concret à l'avertissement de Bill Gates, formulé le 11 octobre 2026 sur CNN : l'IA aux mains de criminels, sans garde-fous, risque de provoquer de nombreuses « mauvaises surprises » en cybersécurité. Ici, l'IA a surtout servi à découvrir les failles avant leur exploitation massive.
Ce que rien ne démontre
Certains sites en ligne parlent d'une « opération sous faux drapeau » ou d'un « Cyber Pearl Harbor » orchestré. Aucun reportage sérieux ne l'établit. Les grandes agences décrivent une faille trouvée par des chercheurs, puis une course contre la montre. Certains détails avancés par des sites partisans, comme une rupture d'embargo par une société précise ou des chiffres d'attaques, n'ont pas été retrouvés dans des sources indépendantes. Le premier reportage de Reuters notait même que l'agence australienne n'avait pas connaissance d'une exploitation active, tandis que le gouvernement britannique jugeait l'exposition limitée à ce stade.
Ce qu'il faut en retenir
Pour les ménages comme pour les administrations, la leçon est avant tout pratique : la dépendance au numérique est réelle, et la continuité des services essentiels dépend de réflexes simples. Mettre à jour rapidement, disposer de sauvegardes, prévoir des moyens de secours : ces mesures, banales, valent mieux que les scénarios catastrophes. C'est aussi, rappelons-le, la logique des conseils de préparation britanniques évoqués précédemment : se préparer à des perturbations temporaires sans céder à la panique.
Sources : Reuters (via The Star, GMA et d'autres), Irish Examiner, Sky News (via Radio X), Yle, Newcastle Herald/AAP ; Fox News (entretien de Bill Gates sur CNN, 11 octobre 2026).
