Cyberattaque : le Caillou visé ?

Deux failles, une alerte nationale, et une consigne claire : on ne traîne pas.
En Nouvelle-Calédonie, chaque site web mal entretenu devient une porte ouverte.

Une menace sérieuse, venue de Paris par la voie officielle

L’alerte n’a rien d’une rumeur. Le 21 octobre 2026, le CERT-FR, rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié une alerte de sécurité portant sur deux vulnérabilités critiques affectant PHP. Le lendemain, le gouvernement de la Nouvelle-Calédonie a pris le relais.

Le message est simple. Collectivités, établissements publics, entreprises, associations : quiconque dispose d’un site web doit vérifier ses installations et les mettre à jour. Sans attendre.

Pourquoi tant d’urgence ? Parce que PHP n’est pas un outil de niche. Ce langage de programmation fait tourner une grande partie des sites web dans le monde. Sites vitrines, boutiques en ligne, portails de services : le commerçant de Nouméa comme l’association de brousse peuvent être concernés sans même le savoir.

Et les deux failles en question ne sont pas anodines. Elles permettent à un attaquant de prendre le contrôle à distance d’un serveur web non corrigé. Rien que ça.

Les conséquences sont connues. Vol de données. Interruption de service. Intrusion jusque dans les systèmes internes de l’organisation visée. Les sites transactionnels, ceux qui traitent des données sensibles et ceux reliés à des systèmes internes figurent en première ligne.

Un détail achève de dissiper toute tentation de minimiser : des outils d’attaque circulent déjà. La menace n’est pas théorique. Elle est opérationnelle.

L’État et le gouvernement calédonien en ordre de marche

Voilà une illustration concrète de ce que signifie l’appartenance de la Nouvelle-Calédonie à l’ensemble national. Face à une menace numérique mondiale, le territoire ne se retrouve pas seul. L’expertise de l’ANSSI, bras armé de la France en matière de cybersécurité, profite directement aux Calédoniens.

Le gouvernement local agit en lien avec le Haut-commissariat de la République et l’ANSSI. Il a engagé la vérification et la mise à jour de ses propres serveurs. Une démarche logique : l’exemplarité commence par sa propre maison.

Conséquence pratique, et assumée : certains services en ligne peuvent être temporairement indisponibles ou ralentis pendant ces opérations. Un désagrément passager. Le prix d’une protection sérieuse.

On pourrait s’en plaindre. On aurait tort. Mieux vaut un portail ralenti quelques heures qu’un système public livré à des pirates.

Les bons réflexes : responsabilité de chacun

Le gouvernement ne se contente pas d’un avertissement général. Il trace une conduite précise, et elle repose avant tout sur la responsabilité des organisations elles-mêmes.

Première étape, dès aujourd’hui : contacter son hébergeur ou son prestataire web. L’objectif est de savoir si le site utilise PHP et s’il a déjà été mis à jour. Beaucoup de responsables ignorent tout de la mécanique technique de leur propre site. Ce n’est pas une faute. Rester dans l’ignorance après une telle alerte en serait une.

Vient ensuite la mise à jour proprement dite. Les correctifs publiés par l’éditeur correspondent aux versions PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou à toute version ultérieure. C’est le cœur de la réponse.

Pour les installations plus anciennes, le constat est sans appel. Les versions 8.1 et antérieures ne bénéficient d’aucun correctif. La consigne officielle consiste donc à mettre hors ligne ou isoler ces sites jusqu’à leur migration vers une version maintenue. Brutal ? Peut-être. Mais laisser tourner un site vulnérable, sans parade possible, relève de l’imprudence pure.

Le gouvernement recommande aussi d’activer, quand c’est possible, une protection de type pare-feu applicatif (WAF). Précision essentielle : ce dispositif vient en complément de la mise à jour, jamais à sa place. Pas de raccourci.

Enfin, tout comportement suspect constaté sur un serveur doit être signalé à l’équipe cybersécurité du gouvernement, à l’adresse securite-si@gouv.nc.

Et le grand public ? Il peut souffler. Les internautes qui se contentent de consulter des sites web n’ont aucune action à effectuer. L’effort repose sur ceux qui les administrent.

C’est là tout l’esprit de cette alerte. Pas de catastrophisme, pas de discours victimaire sur des pirates tout-puissants. Une menace identifiée, des solutions connues, une chaîne de responsabilité claire. Les informations techniques détaillées et actualisées restent disponibles sur le site du CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/

(Crédit photo : Science Photo Library via AFP)