Pourquoi ce site est-il en maintenance ? Les correctifs d'urgence expliqués

WindowsMaciPhoneAndroidMis à jour

Le CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, recommande d'isoler les équipements touchés par les failles PHP d'octobre 2026, puis de migrer vers une version maintenue de PHP avec les derniers correctifs. L'agence américaine CISA va plus loin pour les organisations qui ne peuvent pas mettre à jour tout de suite : mettre leurs systèmes PHP hors ligne jusqu'à leur correction. Un site mis à l'écart le temps de sa mise à jour peut afficher une page de maintenance. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Après l'annonce de deux failles critiques de PHP le 21 octobre 2026, les autorités de cybersécurité en France, aux États-Unis, au Royaume-Uni et au Japon ont demandé aux organisations de mettre PHP à jour et, si elles ne le pouvaient pas, d'isoler leurs systèmes ou d'envisager de les couper. Une page de maintenance peut signifier que le propriétaire fait ce travail. Patientez, consultez ses canaux officiels et ne saisissez rien sur une page imitée.

Pourquoi un site se met-il en maintenance après une alerte de sécurité ?

Parce que la correction se fait sur le serveur, et qu'un serveur qu'on ne peut pas corriger vite est plus sûr à l'écart. PHP est le langage de nombreux sites web. Le projet PHP a publié des versions corrigées le 21 octobre, et son avis indique que seule une mise à jour est une solution complète. Notre guide sur la faille PHP présente les failles, et qu'est-ce que PHP ? explique pourquoi une faille côté serveur touche autant de sites.

La mise à jour n'est pas toujours rapide. L'agence japonaise IPA souligne que les systèmes restés longtemps sans mise à jour peuvent demander des modifications du code du site et de nouveaux tests, et que le travail peut être freiné par une documentation manquante, des équipes parties ou des contrats de maintenance terminés. Pendant ce temps, la page de maintenance est souvent la seule chose visible.

Que recommandent les autorités ?

Toutes placent la mise à jour en premier. Elles diffèrent sur la conduite à tenir quand elle n'est pas possible tout de suite.

  • CERT-FR (France). Son alerte rappelle que PHP n'assure plus le support des versions 5.x, 7.x, 8.0.x et 8.1.x, et recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue. Les contournements provisoires qu'elle cite ne sont pas qualifiés par le CERT-FR.
  • Cybermalveillance.gouv.fr (France). Son AlerteCyber du 22 octobre demande de mettre à jour au plus vite les équipements et logiciels concernés, et d'isoler puis de migrer ceux qui tournent sur une version qui ne reçoit plus de correctifs.
  • CISA (États-Unis). Mettre à jour immédiatement. Les organisations qui ne le peuvent pas, ou qui utilisent encore PHP 8.1 ou plus ancien, devraient mettre leurs systèmes PHP hors ligne jusqu'à leur mise à jour.
  • NCSC (Royaume-Uni). Mettre à jour, en commençant par les systèmes exposés à Internet. Si les mesures temporaires ne peuvent pas être appliquées, ou prendraient trop de temps, envisager de mettre le système hors ligne jusqu'à ce que le risque soit entièrement traité.
  • IPA (Japon). Ne pas laisser tourner un système vulnérable en attendant la mise à jour. Si des mesures provisoires efficaces sont difficiles, décider s'il faut bloquer l'accès depuis l'extérieur ou arrêter temporairement le service, en pesant les dommages possibles contre l'effet sur l'activité.

Que faire si un site que j'utilise est en maintenance ?

Surtout, patienter. La correction revient au propriétaire du site, et rien de ce que vous installez sur votre téléphone ou votre ordinateur ne corrige le serveur d'un site.

  1. Cherchez un point de situation sur les canaux officiels du site : ses comptes vérifiés sur les réseaux sociaux, une app que vous utilisez déjà, ou un e-mail attendu. L'IPA demande aux organisations de prévoir comment informer leurs utilisateurs des solutions de remplacement, donc une annonce peut y paraître.
  2. Pour joindre l'entreprise, utilisez des coordonnées dont vous êtes sûr. Cybermalveillance.gouv.fr conseille de toujours contacter l'organisme par vous-même, à ses coordonnées officielles, par exemple celles de son site.
  3. Revenez sur le site en tapant son adresse ou par votre propre favori, pas par un lien qu'on vous a envoyé.

Faut-il se méfier des pages imitées pendant la maintenance ?

Oui. Cybermalveillance.gouv.fr rappelle que si l'adresse du site affichée dans votre navigateur ne correspond pas exactement au site concerné, il s'agit très certainement d'un site frauduleux, et qu'un seul caractère changé peut suffire à vous tromper. Un message qui vous dit qu'un site a déménagé, ou qui vous demande de vous connecter ailleurs pendant la maintenance, mérite de la méfiance.

Ne saisissez ni mot de passe, ni numéro de carte, ni informations personnelles sur une page atteinte depuis un e-mail, un SMS ou une publicité inattendus. Cybermalveillance.gouv.fr précise qu'aucune organisation sérieuse ne vous demandera votre mot de passe par messagerie ou par téléphone, même pour une « maintenance ». Vous pouvez signaler l'adresse d'un site d'hameçonnage à Phishing Initiative.

« En maintenance » veut-il dire que le site a été piraté ?

Pas forcément. Une page de maintenance dit que le site est indisponible, pas pourquoi. Les autorités citées plus haut demandent aux organisations d'isoler leurs systèmes ou de les mettre hors ligne quand elles ne peuvent pas les mettre à jour, si bien qu'une page de maintenance peut simplement signifier que le travail est en cours.

Si une entreprise constate que des données de ses clients ont été touchées, c'est une autre question, avec ses propres étapes. Notre guide données personnelles piratées, que faire ? explique comment vous seriez normalement prévenu.

Pourquoi le site met-il si longtemps à revenir ?

Certains propriétaires mettent à jour en quelques minutes, d'autres non. L'alerte de l'IPA décrit les cas difficiles : de vieux systèmes où mettre PHP à jour oblige à retravailler et retester le site, et des organisations qui doivent trouver les personnes, le budget et la maintenance nécessaires. À celles qui ne le peuvent pas, elle demande d'envisager une migration vers un produit ou un service maintenu, une réduction des fonctions, ou l'arrêt de la publication. Certains sites peuvent donc revenir sous une autre forme, et d'autres ne pas revenir.

Autres questions

Peut-on revenir sans risque sur un site après sa maintenance ?

Les failles PHP sont dans le logiciel du serveur, pas dans votre appareil. Pour la question plus large, notre guide visiter un site piraté, est-ce dangereux ? explique ce qu'un site compromis peut faire à ses visiteurs et à quoi faire attention.

La faille PHP a-t-elle été exploitée ?

Au 23 octobre 2026, la CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, et le CERT-FR a ajouté le 22 octobre qu'il a connaissance de preuves de concept pour des déploiements spécifiques de PHP. Aucune des alertes citées dans ce guide ne donne de nombre de sites touchés.

Qu'est-ce qu'une « maintenance d'urgence » ?

L'expression ne figure ni dans l'avis du projet PHP ni dans l'alerte du CERT-FR : c'est le vocabulaire du propriétaire du site. Le travail que décrivent les autorités pour PHP, c'est la mise à jour du logiciel, ou l'isolement du système en attendant.

Pourquoi la maintenance PHP touche-t-elle des sites si différents ?

Parce que beaucoup de sites reposent sur le même logiciel PHP. Le NCSC britannique indique que les organisations qui utilisent n'importe quelle version de PHP sont concernées, et la CISA note que PHP est souvent un composant d'autres logiciels, si bien que même un site qui ne mentionne pas PHP peut avoir du travail.

Dois-je changer mon mot de passe sur un site qui a fermé pour maintenance ?

Aucune consigne générale ne le demande parce qu'un site est hors ligne. Si l'entreprise annonce un piratage, Cybermalveillance.gouv.fr conseille de changer le mot de passe concerné sans attendre, sur ce site et partout où vous l'utilisiez. Suivez ses instructions par ses canaux officiels.

Sources