Ce qui s'est passé

Le mercredi 21 octobre 2026, NotuBiz, la plateforme qui permet aux organismes publics néerlandais de partager des informations officielles avec les membres des conseils municipaux et provinciaux, a mis ses services hors ligne par précaution. L'entreprise affirme n'avoir trouvé aucun signe d'intrusion. Une centaine de communes, de provinces et d'offices des eaux utilisent le système, dont La Haye, Almere, Bréda, Haarlem, Delft, Overijssel, Gueldre et la Frise. En Frise, la province, Wetterskip Fryslân et les communes de Smallingerland et de Súdwest-Fryslân y ont également recours. Dans la province d'Utrecht, les systèmes d'information des conseils de onze communes, parmi lesquelles Amersfoort, Zeist et IJsselstein, sont hors service, et NotuBiz ne sait pas encore quand ils seront rétablis. L'agence de presse ANP a elle aussi mis ses propres systèmes à l'arrêt par précaution.

Deux failles critiques dans PHP

Le CERT-EU, le service de cybersécurité de l'Union européenne, a averti mercredi matin de deux vulnérabilités dans PHP qu'il qualifie de critiques. Les failles obtiennent un score de 9,2 sur 10 sur l'échelle CVSS, qui mesure la facilité avec laquelle une faiblesse peut être exploitée et l'ampleur de son application. Elles ont été nommées CVE-2026-109618 et CVE-2026-109619. Les mainteneurs de PHP ont signalé les deux failles le même matin ; elles pourraient permettre à un attaquant de prendre le contrôle d'un serveur à distance. Selon les rapports, la part des sites web qui font tourner PHP ou des applications bâties dessus atteint environ 70 % dans le monde.

Cloudflare, une entreprise américaine dont le pare-feu protège de nombreux sites populaires, signale les premières attaques et indique que son pare-feu intercepte les tentatives d'exploitation de la faille. Les pirates semblent avoir trouvé un moyen d'exploiter le problème avant qu'un correctif ne soit disponible. La société de cybersécurité Huntress écrit sur son site à propos de l'omniprésence de PHP :

« PHP est partout. Il tourne de façon invisible sous les sites WordPress, Drupal, Joomla et Magento. »

Avertissements et la mise à jour de 16 h

L'existence des failles a fuité le mardi 20 octobre, et une vidéo circulant sur les réseaux sociaux montrerait comment les exploiter en quelques secondes. Le hacker éthique Inti De Ceukelaire a qualifié le problème de très grave et dit craindre une vague d'incidents :

« Je crains que ce ne soit un vrai foutoir. »

Selon De Ceukelaire, les attaquants pourraient ajouter des fichiers et lire le code source ainsi que des clés de sécurité, et ces clés pourraient ouvrir l'accès à une base de données clients. Il ajoute que de nombreuses entreprises font peut-être encore tourner PHP sans le savoir, sur des blogs ou des sites plus anciens. Wouter van Dongen, autre hacker éthique, a déclaré à l'ANP que le danger est que des sites soient détournés ou que quelqu'un puisse accéder à toutes leurs données. Les premières attaques ne l'ont pas surpris :

« Les groupes de pirates y vont à fond. »

Mise à jour et conseils

L'équipe de sécurité de PHP prévoit de publier sa mise à jour à 16 h, heure néerlandaise, et indique qu'elle pourrait la publier plus tôt si des détails sur l'une des failles deviennent publics ou si elle trouve des preuves d'une exploitation active. Le CERT-EU exhorte les organisations à se préparer à installer les mises à jour immédiatement. Les organisations qui ne peuvent pas mettre à jour à temps devraient envisager de mettre leurs sites hors ligne, selon l'agence. Le graphique ci-dessous retrace les moments signalés jusqu'ici.