Météo France a fermé ce mercredi 21 octobre l’ensemble de ses sites internet, dont celui de la Vigilance. Il s'agit d'une mesure de précaution, prise après l’alerte sur deux failles critiques de PHP, le temps d’analyser le correctif.
Si le site de Météo France refuse de s'afficher ce mercredi 21 octobre, inutile de redémarrer votre box : l'établissement public a lui-même fermé ses sites internet, par précaution face aux failles critiques de PHP. Ce langage de programmation tourne sur les ordinateurs qui hébergent les sites web, où il fabrique à la volée les pages d’une grande partie d’entre eux, des blogs WordPress aux boutiques en ligne, en passant par Météo France. Ses équipes doivent d'abord évaluer les travaux qu'impose le correctif, tout juste publié. D'ici là, c'est sur les réseaux sociaux que passent les informations de sécurité météorologique.
Pourquoi le site de Météo France ne répond plus ce mercredi
Météo France l'a annoncé en avance sur ses réseaux sociaux : tous ses sites sont fermés. Cela concerne meteofrance.com, où l'on consulte les prévisions chaque jour, le site de la Vigilance, qui signale les risques météo département par département, et même les extranets, donc les espaces en ligne privés réservés à ses clients. Absolument rien dans ce message n'évoque une cyberattaque contre ses services. L'établissement a simplement préféré tout couper par sécurité, le temps d'examiner ce que le correctif de PHP l'oblige à faire sur ses propres sites avant de les rouvrir.
À l'origine de cette décision, une alerte du CERT-FR, le service de l'État chargé de repérer les menaces informatiques et d'aider à y répondre. Elle porte sur deux failles critiques dans PHP. Leur existence avait fuité dès mardi sur un forum spécialisé, ce qui a contraint les responsables du projet à donner l'alerte en urgence. Ce mercredi, ils ont publié de nouvelles versions de PHP (8.5.12, 8.4.27, 8.3.36 et 8.2.35) qui colmatent ces brèches. Les éditeurs de systèmes Linux, très répandus sur les serveurs web, avaient reçu ces correctifs en avance pour préparer leurs propres mises à jour.
Failles PHP, pourquoi Météo France ne prend aucun risque
La prudence côté Météo France est tout à fait compréhensible. Selon l'équipe de sécurité de PHP, ces deux failles référencées CVE-2026-109618 et CVE-2026-109619 permettent à un pirate de faire exécuter ses propres commandes à un serveur, à distance et sans le moindre mot de passe. La première profite d'une saturation de la mémoire, qui peut interrompre PHP en plein traitement d'une demande et laisser derrière elle des données incomplètes, ensuite prises pour valides. La seconde exploite des informations laissées par une demande précédente, que la suivante réutilise par erreur.
Tous les sites qui reposent sur PHP sont concernés, mais le risque est maximal avec une configuration classique, le serveur web Apache associé au module mod_php : l'attaque peut s'y déclencher avant même que le site n'exécute son propre code. Des parades provisoires existent, mais seule la mise à jour protège vraiment.
En attendant, Météo France diffuse ses informations de sécurité, autrement dit les alertes météo en cas de phénomène dangereux, sur ses réseaux sociaux, comme son compte X ou sa page Facebook. Le moment est mal choisi : l’établissement annonçait ce mercredi la tempête Austen, avec des vents violents attendus vendredi sur le Nord-Ouest du pays. Sans le site de la Vigilance, c’est donc sur ces réseaux qu’il faudra vérifier si son département passe en alerte. Aucune date de réouverture n’a été communiquée pour l’instant.
