Aller au contenu

Nouméa

Veille active

Le défilement s’arrête au survol ou au focus.

Sujets5Critiques4Exploitées KEV5KEVLangflow exposé à une vulnérabilité critique d'injection de codeKEVUne vulnérabilité critique menace SharePoint et nécessite une mise à jour urgenteKEVUne faille critique touche VeloCloud Orchestrator et nécessite une mise à jourKEVFaille critique d'injection de commandes dans Collabora Online Built-in CODE ServerCERT-FR[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)CERT-FRVulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)CERT-FRIncident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12 octobre 2026)Flux CERT-FRsynchronisé 25 octobre 2026, 15 h 36Flux CISA KEVsynchronisé 25 octobre 2026, 15 h 36Flux EPSSsynchronisé 25 octobre 2026, 15 h 36

ActualitéImportance forte

Failles critiques PHP : le gouvernement de la Nouvelle-Calédonie appelle les sites web à se mettre à jour

Le gouvernement de la Nouvelle-Calédonie publie le 22 octobre 2026 un communiqué appelant collectivités, entreprises et associations à vérifier et corriger leurs sites sous PHP, après l’alerte du CERT-FR du 21 octobre sur deux failles critiques. En Polynésie française, TNTV relaie un appel à la vigilance et signale des sites mis en maintenance à titre préventif.

CyberBase, édition de l'aube du jeudi 3 sources

Illustration de « Failles PHP : alerte du gouvernement calédonien » : le pictogramme de la rubrique Actualité et le nom du sujet sur une image de fond assombrie

Pour les pros

Pour les professionnels

Le contexte

Le CERT-FR de l’ANSSI a publié le 21 octobre 2026 une alerte sur deux vulnérabilités critiques de PHP. Selon le communiqué du gouvernement calédonien, elles permettent de prendre le contrôle à distance d’un serveur web non corrigé (vol de données, interruption de service, rebond vers les systèmes internes) et des outils d’attaque circulent déjà. Les correctifs sont dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ou ultérieures ; il n’existe pas de correctif pour PHP 8.1 et antérieures. Détail technique : fiche PHP2Shell.

Ce qui s'est passé, jour après jour

  1. Le CERT-FR de l’ANSSI publie une alerte de sécurité sur deux vulnérabilités critiques affectant PHP.

  2. Le gouvernement de la Nouvelle-Calédonie appelle collectivités, établissements publics, entreprises et associations à vérifier et mettre à jour leurs sites web sans attendre.

  3. Le gouvernement indique avoir engagé, avec le Haut-commissariat et l’ANSSI, la vérification et la mise à jour de ses propres serveurs ; certains services en ligne peuvent être temporairement indisponibles ou ralentis.

  4. En Polynésie française, TNTV relaie un appel à la vigilance et rapporte que plusieurs sites, dont ceux de Météo-France et du haut-commissariat, ont été mis en maintenance à titre préventif ; aucune cyberattaque locale liée à ces failles n’a été révélée à ce stade, selon TNTV.

Qui est concerné

À faire, dans l'ordre

  1. Contacter dès aujourd’hui l’hébergeur ou le prestataire web pour savoir si le site utilise PHP et s’il a été mis à jour.

  2. Installer PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou une version ultérieure), puis redémarrer le service PHP.

  3. Mettre hors ligne ou isoler les sites sous PHP 8.1 ou plus ancien, sans correctif, jusqu’à leur migration vers une version maintenue ; un pare-feu applicatif (WAF) complète la mise à jour sans la remplacer.

  4. Inventorier tout ce qui tourne sous PHP dans l’entreprise, WordPress compris (conseil d’un spécialiste polynésien rapporté par TNTV).

  5. Signaler tout comportement suspect à l’équipe cybersécurité du gouvernement : securite-si@gouv.nc.

En clair

Pour tout le monde

  1. PHP est le moteur qui fait fonctionner une grande partie des sites web, dont beaucoup de sites vitrines et de boutiques en ligne. Deux failles graves y ont été découvertes : elles permettent à un attaquant de prendre le contrôle d’un serveur non corrigé. Si vous avez un site, appelez dès aujourd’hui votre hébergeur ou votre prestataire pour savoir s’il tourne sous PHP et s’il a été mis à jour. Les internautes qui visitent simplement des sites n’ont rien à faire, mais certains services publics peuvent être ralentis pendant les mises à jour.

Ce que ça change dans le Pacifique

Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna

Fait local : le gouvernement de la Nouvelle-Calédonie adresse l’alerte aux sites des organisations calédoniennes et met à jour ses propres serveurs, avec des services parfois ralentis. En Polynésie française, TNTV rapporte des mises en maintenance préventives et un appel à la vigilance, sans cyberattaque locale révélée à ce stade. Wallis-et-Futuna n’est pas mentionnée par les sources lues.

Réseau de sources

Qui a relevé l’alerte, et quelles autorités la documentent.

  • TNTV, Failles de sécurité PHP : ce qu’il faut savoir pour protéger son site internet au fenua
  • Gouvernement de la Nouvelle-Calédonie

Sources (3)