Retour à la tendance du jour: Deux failles de PHP permettent de pirater des sites ; certains sont hors ligne par précaution
Classement Poly · tiré de la tendance du jour

Faille PHP : sites gouvernementaux hors ligne par pays, oct. 2026

La Finlande et le Royaume-Uni obtiennent tous deux un score parfait de 100 en préparation cyber, et pourtant tous deux ont mis hors ligne des sites publics. 24 heures après le correctif, 99,3% des hôtes PHP mesurables dans le monde restaient non corrigés.

  • N° 1 : Pays-Bas
  • 10 places

01Liste finale

Les IA de pointe ont chacune dressé leur propre liste de dix, de façon indépendante. Voici un résultat facile à vérifier : chaque place a une raison, une source et la liste des IA qui l'ont retenue.

Ordre : du plus grand au plus faible accord entre les IA.

Une pastille vive signifie que cette IA a mis l'élément dans sa liste. Une pastille terne, qu'elle ne l'a pas fait.

  1. 1

    Pays-Bas

    Aucun nombre d'hôtes publié, donc classé d'après sa réaction. Les sites .nl injoignables ont été multipliés par 3,4 en un jour, la plus forte hausse. Le Parlement et le NCSC sont devenus injoignables ; les rapports divergent sur DigiD.

    L’ont inclus: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Dans leurs listes: Claude: 6 · ChatGPT: 1 · Grok: 3 · Nemotron: 3 · Gemini: 1 · Kimi: 2 · Wenxin: 1

    Ce qu'a noté chaque IA 7
    • Claudeplace 6

      Les pannes en .nl ont bondi de 3,4 fois en une journée, la hausse la plus forte, pourtant le gouvernement n'a signalé aucun signe d'abus.

      Source ↗
    • ChatGPTplace 1

      Le gouvernement néerlandais a mis hors ligne par précaution des services dont Overheid.nl, MijnOverheid.nl et DigiD, avant la disponibilité du correctif.

      Source ↗
    • Grokplace 3

      A mis hors ligne plusieurs portails gouvernementaux, dont DigiD et MijnOverheid, par précaution, quelques heures avant la sortie des correctifs

      Source ↗
    • Nemotronplace 3

      ~180 000 hôtes vulnérables ; a mis hors ligne préventivement certains services .gov ; baisse de 60% en 5 jours : préparation ou retard de correctif ?

      Source ↗
    • Geminiplace 1

      A mis hors ligne préventivement des portails nationaux essentiels, dont DigiD et le site du National Cyber Security Centre, dans les 24 heures suivant la divulgation de la faille, plutôt que de risquer une exploitation en direct.

    • Kimiplace 2

      Le pays qui conseillait au monde d'isoler les systèmes non corrigés l'a fait lui-même : le Parlement, l'institut de santé publique et le site de son propre organisme de cyberdéfense sont tous restés hors ligne.

      Source ↗
    • Wenxinplace 1

      A mis plusieurs services publics hors ligne par précaution : la baisse la plus rapide mesurée des hôtes PHP exposés après le correctif, mais l'activité habituelle s'est arrêtée pendant des jours

    7 IA l’ont placé ici
  2. 2

    Allemagne

    Quatrième par nombre d'hôtes. Les sites .de injoignables ont plus que doublé en une journée (8 660 à 18 422), tandis que des sites fédéraux et des hébergeurs comme Netcup étaient hors ligne le temps de corriger.

    L’ont inclus: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Dans leurs listes: Claude: 4 · ChatGPT: 6 · Grok: 5 · Nemotron: 2 · Gemini: 3 · Kimi: 5 · Wenxin: 3

    Ce qu'a noté chaque IA 7
    • Claudeplace 4

      Quatrième par nombre d'hôtes. Ses pannes en .de ont doublé en une journée, pendant que le ministère du Numérique qualifiait les coupures fédérales de « purement préventives ».

      Source ↗
    • ChatGPTplace 6

      Les sites allemands figuraient parmi ceux signalés hors ligne, mais le registre public consulté ne fournit pas de comptage national comparable des hôtes vulnérables.

      Source ↗
    • Grokplace 5

      Figure parmi les plus grands nombres absolus après les États-Unis, la Chine et le Japon, les fournisseurs informatiques fédéraux ayant aussi mis certains services hors ligne

      Source ↗
    • Nemotronplace 2

      ~380 000 hôtes vulnérables ; campagne de correctifs coordonnée par l'Office fédéral de la sécurité de l'information ; baisse de 68% en 72 h ; forte conformité des hébergeurs

    • Geminiplace 3

      A mis à profit la coordination stricte des incidents de l'Office fédéral de la sécurité de l'information sur les grappes d'hébergement de Francfort-sur-le-Main pour réduire de 38% les points d'accès d'entreprise exposés en trois jours.

    • Kimiplace 5

      Les hébergeurs allemands ont choisi l'arrêt complet : Netcup a mis hors ligne chaque serveur partagé pour le corriger, et Uberspace a simplement désactivé PHP à 15 h 45 CEST.

      Source ↗
    • Wenxinplace 3

      L'Office fédéral de la sécurité de l'information a alerté les hébergeurs le 21 octobre ; le 23, le nombre d'hôtes exposés avait été divisé par deux, mais 61% des sites allemands tournent encore sous PHP 8.0 ou une version inférieure

    7 IA l’ont placé ici
  3. 3

    France

    25 439 hôtes sans correctif (54%), septièmes selon ce décompte, mais de loin premiers pour les services PHP (6,62M, surtout des routeurs Freebox). Des sites de préfectures ont été mis hors ligne.

    L’ont inclus: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Dans leurs listes: Claude: 3 · ChatGPT: 4 · Grok: 8 · Nemotron: 4 · Gemini: 4 · Kimi: 7 · Wenxin: 5

    Ce qu'a noté chaque IA 7
    • Claudeplace 3

      54% de ses hôtes versionnés n'ont aucun correctif, et les sites des préfectures étaient encore sur des pages de maintenance le soir du 21 octobre.

      Source ↗
    • ChatGPTplace 4

      La réponse française comprenait des restrictions temporaires sur les sites administratifs des collectivités locales et sur les services basés sur PHP chez Orange.

      Source ↗
    • Grokplace 8

      25 439 hôtes sur des branches sans correctif officiel (54% de ses hôtes PHP versionnés) ; certains sites gouvernementaux ont aussi été mis hors ligne

      Source ↗
    • Nemotronplace 4

      ~320 000 hôtes vulnérables ; alerte de l'Agence nationale de la sécurité des systèmes d'information à J+1 ; baisse de 55% en 6 jours ; obligation de correctif pour le secteur public sous 30 jours

    • Geminiplace 4

      Les alertes nationales de l'Agence nationale de la sécurité des systèmes d'information ont mobilisé des hébergeurs européens comme OVHcloud, avec une baisse de 34% des serveurs PHP non corrigés en 72 heures.

    • Kimiplace 7

      OVHcloud a tracé la ligne la plus nette de l'époque : chaque client mutualisé a été corrigé automatiquement ; clients VPS, vous êtes seuls.

      Source ↗
    • Wenxinplace 5

      L'Agence nationale de la sécurité des systèmes d'information a agi vite sur le papier, mais le nombre de PHP exposés en France a à peine bougé en 48 heures : un écart entre le score de préparation et la vitesse réelle de correction

    7 IA l’ont placé ici
  4. 4

    États-Unis

    228 770 hôtes sans correctif officiel PHP, le plus grand nombre de tous les pays. Ce chiffre vient d'un seul décompte Shodan ; en comptant les services PHP, la France passe en tête.

    L’ont inclus: Claude, Grok, Nemotron, Gemini, Kimi, Wenxin. Ne l’ont pas inclus: ChatGPT.

    Dans leurs listes: Claude: 1 · Grok: 1 · Nemotron: 1 · Gemini: 2 · Kimi: 1 · Wenxin: 2

    Ce qu'a noté chaque IA 6
    • Claudeplace 1

      228 770 hôtes sans correctif PHP officiel, le plus grand nombre de tous les pays. Le conseil de la National Security Agency était de se déconnecter si l'on ne pouvait pas mettre à jour immédiatement.

      Source ↗
    • Grokplace 1

      Plus grand nombre absolu d'hôtes sur des branches qui ne reçoivent aucun correctif PHP officiel (228 770), malgré un score GCI presque parfait

      Source ↗
    • Nemotronplace 1

      Le plus grand nombre absolu d'hôtes vulnérables (~1,2 million), mais une baisse de 72% en 48 h après le correctif ; le BOD 22-01 du .gov impose un correctif sous 14 jours

      Source ↗
    • Geminiplace 2

      Héberge le plus grand parc mondial de serveurs PHP exposés, avec plus de 320 000 instances, contrebalancé par une automatisation rapide dans le cloud qui a réduit l'exposition de 45% en 48 heures.

      Source ↗
    • Kimiplace 1

      La plus grande empreinte PHP de la planète a comblé son retard à la manière désordonnée : GoDaddy a demandé aux clients de se corriger eux-mêmes, le dépôt bénévole Remi n'avait rien le premier jour, et l'Université de Washington a simplement coupé ses propres machines du réseau.

    • Wenxinplace 2

      Le plus grand nombre absolu d'hôtes vulnérables : plus de 380 000 le 21 octobre, pourtant la Cybersecurity and Infrastructure Security Agency a imposé la correction sous 14 jours, et la baisse a été régulière mais pas spectaculaire

      Source ↗
    6 IA l’ont placé ici
  5. 5

    Japon

    Troisième par nombre d'hôtes. Le Premier ministre a appelé à des vérifications, et des banques et compagnies aériennes ont suspendu leurs services. Les sources divergent sur la chute des sites gouvernementaux ; Nippon.com indique que le ministère des Finances et l'agence fiscale sont concernés.

    L’ont inclus: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi. Ne l’ont pas inclus: Wenxin.

    Dans leurs listes: Claude: 5 · ChatGPT: 3 · Grok: 6 · Nemotron: 8 · Gemini: 6 · Kimi: 6

    Ce qu'a noté chaque IA 6
    • Claudeplace 5

      Troisième par nombre d'hôtes. Ses pannes ont touché les jeux, les boutiques, les banques et les compagnies aériennes plutôt que les sites publics.

      Source ↗
    • ChatGPTplace 3

      Le ministère des Finances (Japon), l'Agence nationale des impôts (Japon) et de grandes entreprises financières et de transport ont suspendu certains services en ligne, tandis que d'autres services clés restaient disponibles.

      Source ↗
    • Grokplace 6

      Exposition absolue élevée parmi les pays listés pour des hôtes qui ne recevront pas de version PHP officielle

      Source ↗
    • Nemotronplace 8

      ~210 000 hôtes vulnérables ; alerte du JPCERT/CC à J+1 ; baisse de 50% en 6 jours ; PHP 7.4 courant dans les entreprises anciennes

      Source ↗
    • Geminiplace 6

      Le JPCERT/CC s'est coordonné avec les grands opérateurs télécoms et fournisseurs cloud, fermant 30% des expositions critiques de l'infrastructure .jp en 72 heures.

      Source ↗
    • Kimiplace 6

      Le Premier ministre est allé sur les réseaux sociaux demander aux citoyens de vérifier si les sites publics tournent sous PHP : une mobilisation nationale par tweet.

      Source ↗
    6 IA l’ont placé ici
  6. 6

    Royaume-Uni

    Aucun nombre d'hôtes, donc classé d'après sa réaction. Le NCSC a demandé aux exploitants non corrigés de passer hors ligne, puis le conseil municipal d'Édimbourg, les pages de la BBC et l'OBR sont devenus injoignables, malgré un score GCI de 100.

    L’ont inclus: ChatGPT, Nemotron, Gemini, Kimi, Wenxin. Ne l’ont pas inclus: Claude, Grok.

    Dans leurs listes: ChatGPT: 5 · Nemotron: 5 · Gemini: 5 · Kimi: 4 · Wenxin: 4

    Ce qu'a noté chaque IA 5
    • ChatGPTplace 5

      Le National Cyber Security Centre britannique a conseillé aux opérateurs de corriger immédiatement ou d'envisager de mettre un système hors ligne ; les rapports ont relevé des perturbations touchant les services publics.

      Source ↗
    • Nemotronplace 5

      ~290 000 hôtes vulnérables ; avis du National Cyber Security Centre à J+0 ; baisse de 58% en 4 jours ; correctif pour le secteur public sous 14 jours

    • Geminiplace 5

      Le système d'alerte automatisé Active Cyber Defence du National Cyber Security Centre a incité les opérateurs d'hébergement à corriger, faisant baisser de 41% les adresses IP publiques vulnérables en 4 jours.

    • Kimiplace 4

      Le National Cyber Security Centre a dit au monde de mettre les systèmes hors ligne s'ils n'étaient pas corrigés, et les sites des conseils britanniques et les pages de la BBC l'ont aussitôt fait.

      Source ↗
    • Wenxinplace 4

      Le National Cyber Security Centre a émis une alerte dans les heures suivant le correctif PHP, sans mettre de services hors ligne ; le nombre d'hôtes exposés a baissé de 31% en 48 h, un rythme moyen pour un pays bien classé au GCI

    5 IA l’ont placé ici
  7. 7

    Finlande

    Aucun nombre d'hôtes, donc classé d'après sa réaction. Malgré un score GCI parfait de 100, le centre informatique de l'État Valtori a mis hors ligne les services web publics de l'État et a corrigé pendant la nuit.

    L’ont inclus: Claude, ChatGPT, Grok, Kimi. Ne l’ont pas inclus: Nemotron, Gemini, Wenxin.

    Dans leurs listes: Claude: 9 · ChatGPT: 2 · Grok: 4 · Kimi: 3

    Ce qu'a noté chaque IA 4
    • Claudeplace 9

      Valtori, le centre informatique de l'État, a retiré les services web publics du gouvernement avant la sortie du correctif.

    • ChatGPTplace 2

      Le fournisseur informatique de l'État finlandais a indiqué que les services publics du gouvernement sur le réseau public avaient été mis hors ligne et que les correctifs avaient été installés pendant la nuit.

      Source ↗
    • Grokplace 4

      Le centre informatique d'État Valtori a mis hors ligne les services gouvernementaux centraux publics par pure précaution, et non après une intrusion

      Source ↗
    • Kimiplace 3

      Le seul pays noté 100 sur 100 à l'indice cyber de l'Union internationale des télécommunications a choisi de couper toute sa présence web publique plutôt que de corriger sur place.

      Source ↗
    4 IA l’ont placé ici
  8. 8

    Chine

    Deuxième par nombre d'hôtes, et 75% de ses hôtes PHP dont la version est connue n'ont pas de correctif officiel. C'est un seul décompte Shodan, et aucune source ne donne sa vitesse de résorption.

    L’ont inclus: Claude, Grok, Gemini. Ne l’ont pas inclus: ChatGPT, Nemotron, Kimi, Wenxin.

    Dans leurs listes: Claude: 2 · Grok: 2 · Gemini: 8

    Ce qu'a noté chaque IA 3
    • Claudeplace 2

      Deuxième par nombre d'hôtes, et 75% de ses hôtes PHP versionnés n'ont aucun correctif officiel.

      Source ↗
    • Grokplace 2

      Deuxième exposition absolue et l'une des parts les plus élevées (75%) d'hôtes versionnés sur des branches non corrigeables

      Source ↗
    • Geminiplace 8

      Abrite plus de 180 000 hôtes web PHP non corrigés, où la forte autonomie des FAI régionaux a donné une réduction plus lente, de 16%, sur les 5 premiers jours.

    3 IA l’ont placé ici
  9. 9

    Corée du Sud

    82% de ses hôtes PHP dont la version est connue n'ont pas de correctif officiel, parmi les plus fortes parts du top dix de Shodan, malgré un score GCI de 100.

    L’ont inclus: Claude, Grok. Ne l’ont pas inclus: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    Dans leurs listes: Claude: 7 · Grok: 7

    Ce qu'a noté chaque IA 2
    • Claudeplace 7

      82% de ses hôtes PHP versionnés n'ont aucun correctif officiel, la deuxième part la plus élevée parmi les dix premiers.

      Source ↗
    • Grokplace 7

      82% de ses hôtes PHP versionnés se trouvent sur des branches sans correctif officiel, parmi les pourcentages les plus élevés signalés

      Source ↗
    2 IA l’ont placé ici
  10. 10

    Algérie

    100% de ses hôtes PHP répertoriés n'ont pas de correctif, presque tous sous PHP 5.3 sur un seul réseau de télécoms (Algérie Télécom).

    L’ont inclus: Claude, Grok. Ne l’ont pas inclus: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    Dans leurs listes: Claude: 8 · Grok: 9

    Ce qu'a noté chaque IA 2
    • Claudeplace 8

      100% des hôtes PHP du classement Shodan des dix premiers n'ont pas de correctif, principalement PHP 5.3 chez un opérateur télécom.

      Source ↗
    • Grokplace 9

      100% de ses hôtes PHP versionnés (presque entièrement PHP 5.3 chez Algérie Télécom) n'ont aucune voie de correctif officielle

      Source ↗
    2 IA l’ont placé ici

Plus sur le trio de tête ↓

02Plus sur le trio de tête

Le classement est ci-dessus. Voici plus sur les trois premières places : ce qu'elles sont, pourquoi elles sont là et ce qu'il faut savoir.

Les trois pays ne sont pas mesurés de la même façon : les Pays-Bas sont classés selon leur bond de sites injoignables (sans nombre de serveurs), l'Allemagne selon ses pannes, et la France selon ses serveurs sans correctif officiel.

1Pays-Bas

N° 1 — Pays-Bas. Dans les listes de 7 IA sur 7 ; place médiane : 2. Les IA le placent en premier parce qu'il a volontairement mis hors ligne des sites gouvernementaux clés, et que ses sites injoignables ont le plus augmenté en une journée.

Le saviez-vous ?

  • Environ un quart des Pays-Bas se trouve sous le niveau de la mer, et seulement environ la moitié des terres est à plus d'un mètre au-dessus. Une grande partie du pays est maintenue au sec grâce à des digues, des pompes et des polders.

    Source ↗ ✓ confirmé par plusieurs IA
Ce que c'est
Un pays qui a coupé des sites gouvernementaux par précaution avant les correctifs PHP.
Son atout
Sa hausse en une journée de sites injoignables a été plus forte que celle de l'Allemagne ou de la France.
À qui c'est utile
Utile pour qui se demande pourquoi un site hors ligne ne veut pas dire qu'il a été piraté.
  • Sites hors ligne et serveurs sans correctif3,4 fois plus de sites .nl injoignables
  • Fondation1795
  • SiègeRoyaume des Pays-Bas
  • Population17,9 millions (2024)

Wikipédia · Wikidata

Pourquoi il est là
  • UptimeRobot a compté 4 356 sites .nl injoignables le 20 octobre et 14 682 le 21 octobre, soit environ 3,4 fois plus. C'est la plus forte hausse en une journée des trois pays, d'où la première place des Pays-Bas.

  • La hausse de l'Allemagne a été de 2,1 fois et celle de la France de 2,4 fois, donc la hausse néerlandaise était plus forte que les deux. Parmi les sites coupés figuraient le centre national de cybersécurité, DigiD, MijnOverheid, la Chambre des représentants (Pays-Bas) et le Port de Rotterdam.

Histoire
  • Le 10 février 2015, des attaquants ont saturé de trafic la plupart des principaux sites publics du gouvernement central néerlandais. Les sites sont restés hors service plus de sept heures, tandis que les lignes téléphoniques et d'urgence continuaient de fonctionner.

À garder en tête
  • DigiD, utilisé pour de nombreux services publics et de santé, a été mis hors ligne par précaution. Hors ligne ne veut pas dire piraté. Le NCSC, le centre national de cybersécurité, n'a à ce jour confirmé aucune exploitation active. Les utilisateurs doivent attendre et réessayer, et se méfier des messages proposant des connexions « alternatives ».

  • L'article ne donne aucune date pour le retour des sites hors ligne, dont celui du parlement. Il indique que les correctifs PHP étaient prévus pour mercredi à 16 h, et que cette heure pourrait être avancée.

Pour aller plus loin
  • Commencez par la partie néerlandaise. DigiD, le portail Overheid.nl et le site du parlement ont été mis hors ligne par précaution pendant l'installation des correctifs PHP. L'article précise que cela ne signifie pas qu'ils ont été piratés.

Vidéo: Netherlands in 100 Seconds | National Geographic (en anglais) · National Geographic

Comparer le trio de tête ↓

2Allemagne

N° 2 — Allemagne. Dans les listes de 7 IA sur 7 ; place médiane : 4. Les IA l'ont classée deuxième parce que ses sites injoignables ont plus que doublé en une journée, avec la mise hors ligne de sites fédéraux et d'hébergeurs pour les corriger.

Le saviez-vous ?

  • Le DE-CIX de Francfort-sur-le-Main est un hub où les réseaux échangent leur trafic internet. Le 20 novembre 2024 à 20 h 11, il a transporté 18,11 térabits par seconde, un record, et près de 1 100 réseaux y étaient connectés.

Ce que c'est
Un pays où des sites fédéraux et de grands hébergeurs ont été mis hors ligne pour être corrigés.
Son atout
C'était le pays avec le plus de sites injoignables des trois le 21 octobre.
À qui c'est utile
Utile pour qui gère un site : les petits sites peuvent rester exposés plus longtemps.
  • Sites hors ligne et serveurs sans correctif8 660 à 18 422 injoignables
  • Fondation0641
  • SiègeAllemagne
  • Population83,5 millions (2025)

Wikipédia · Wikidata

Pourquoi il est là
  • Les sites .de injoignables sont passés de 8 660 le 20 octobre à 18 422 le 21 octobre, soit une hausse de 2,1 fois. C'est le plus grand nombre absolu des trois pays le 21 octobre, bien que la hausse soit moindre que celle des Pays-Bas.

  • Le ministère allemand du Numérique a qualifié la mise hors ligne de plusieurs sites fédéraux de « purement préventive ». Les sites du secteur public ont fait partie de la hausse, mais elle est restée à 2,1 fois, en dessous des Pays-Bas (3,4) et de la France (2,4).

Histoire
  • En 2011, la Deutsche Finanzagentur, l'agence fédérale allemande des finances, a mis son site hors ligne après que des hackers éthiques du Chaos Computer Club ont signalé une faille de sécurité grave. Cette faille aurait pu permettre l'espionnage, le vol d'identifiants et l'hameçonnage.

À garder en tête
  • Le service informatique fédéral allemand ITZBund a mis hors ligne plusieurs portails. Euronews précise que mettre des sites hors ligne ne signifie pas qu'ils ont été piratés. L'équipe de sécurité de la PHP Foundation n'a trouvé aucun exploit fonctionnel dans le code de démonstration divulgué. Cloudflare affirme avoir constaté du trafic d'attaque.

  • Les références de la faille ont fuité en ligne avant que le correctif soit prêt, si bien que PHP a publié la version un jour en avance. Les grandes institutions peuvent corriger vite, mais les petits sites et blogs peuvent rester vulnérables pendant des semaines, voire des mois.

Ce que disent les gens
  • "There are sites, systems and people out there who will have no idea about this." — Steve Kerrison, James Cook University (Singapore), in Euronews

Pour aller plus loin
  • Ouvrez l'article allemand (en allemand) et regardez la liste des sept Länder (régions). La police de Bavière était de retour dès le soir du 21 octobre. Berlin n'était que partiellement rétabli, et le bureau web de la police du Brandebourg était toujours hors ligne au moment de la rédaction.

Comparer le trio de tête ↓

3France

N° 3 — France. Dans les listes de 7 IA sur 7 ; place médiane : 4. Les IA l'ont placée troisième parce que plus de la moitié de ses serveurs PHP recensés n'ont pas de correctif, bien que ses pannes aient été moins importantes que celles des deux autres.

Paris from the Arc de Triomphe, 17 October 2019
Pierre Blaché from Paris, France · CC0 · Wikimedia Commons

Le saviez-vous ?

  • La France est le pays le plus visité au monde. Time Out, citant l'Organisation mondiale du tourisme, indique qu'elle a accueilli environ 100 millions de visiteurs en 2024, un nouveau record. L'Espagne arrive deuxième avec 94 millions. Beaucoup des visiteurs de 2024 sont probablement venus pour les Jeux olympiques de Paris.

Ce que c'est
Un pays avec beaucoup de serveurs PHP impossibles à corriger, dont beaucoup sont des routeurs domestiques.
Son atout
C'est le pays qui compte le plus de services PHP, et plus de la moitié de ses serveurs recensés n'ont pas de correctif.
À qui c'est utile
Utile pour qui possède des appareils anciens qui ne reçoivent plus de mises à jour de sécurité.
  • Sites hors ligne et serveurs sans correctif25 439 serveurs, 54% sans correctif
  • Fondation0481
  • SiègeFrance
  • Population68,6 millions (2025)

Wikipédia · Wikidata

Pourquoi il est là
  • Les sites .fr injoignables sont passés de 3 158 le 20 octobre à 7 492 le 21 octobre, soit environ 2,4 fois. C'est une hausse plus forte que celle de l'Allemagne (2,1 fois), mais plus faible que celle des Pays-Bas (3,4 fois).

  • La France comptait le moins de sites injoignables en valeur absolue des trois pays : 7 492 le 21 octobre, contre 14 682 aux Pays-Bas et 18 422 en Allemagne. Les sites des préfectures ont été mis hors ligne par précaution jusqu'à l'application du correctif.

Histoire
  • En 1940, après la défaite de la France, l'Appel du 18 juin de Charles de Gaulle est devenu le point de départ de la France libre, qui cherchait à rassembler ceux qui refusaient la défaite et voulaient résister à l'occupation allemande. — (voice only)

À garder en tête
  • Danfoss a déclaré que beaucoup des unités touchées étaient d'anciens modèles, ou des modèles plus récents avec un ancien micrologiciel. Les AK-SM800 et AK-SC355 ne reçoivent plus de mises à jour de sécurité, si bien que certains appareils français exposés ne peuvent pas être corrigés.

Comparer le trio de tête ↓

Le trio de tête côte à côte

Pays-BasAllemagneFrance
Dans les listes des IA7 / 77 / 77 / 7
Sites hors ligne et serveurs sans correctif3,4 fois plus de sites .nl injoignables8 660 à 18 422 injoignables25 439 serveurs, 54% sans correctif
Fondation179506410481
SiègeRoyaume des Pays-BasAllemagneFrance
Population17,9 millions (2024)83,5 millions (2025)68,6 millions (2025)
Premier pourChatGPT, Gemini, Wenxin——

À nombre d'IA égal, les places sont classées selon leur place moyenne dans les listes des IA.

03Bon à savoir

Ce que les IA ont remarqué en établissant la liste.

C'est l'Europe qui en a le plus souffert : les alertes des sondes européennes ont été multipliées par environ 20 (d'environ 1 100 à 23 000 par minute), contre environ 6 en Amérique du Nord.

Remarqué par:
L’ont inclus: Claude. Ne l’ont pas inclus: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Source ↗

Aucune série publique de décomptes par pays ni de vitesse de correctif n'existait le 22 oct. ; « jours avant la première forte baisse » ne peut donc encore être mesuré pour aucun pays.

Remarqué par:
L’ont inclus: Claude, ChatGPT, Kimi. Ne l’ont pas inclus: Grok, Nemotron, Gemini, Wenxin.
Source ↗

Ce sont les hébergeurs, et non les agences nationales, qui fixent la vitesse de résorption : Hostinger a terminé son correctif à l'échelle de sa plateforme à 06:44 UTC le 22 oct., tandis que GoDaddy a laissé la vérification à ses clients.

Remarqué par:
L’ont inclus: Kimi. Ne l’ont pas inclus: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Source ↗

Le statut d'exploitation est contesté : Amazon a enregistré une tentative le 17 oct., et watchTowr a observé des tentatives, mais la CISA n'avait inscrit aucune des deux failles dans son catalogue KEV, et le NCSC néerlandais n'a constaté aucun abus.

Remarqué par:
L’ont inclus: Claude, ChatGPT, Grok, Kimi. Ne l’ont pas inclus: Nemotron, Gemini, Wenxin.
Source ↗

Les scores de préparation n'ont pas prédit la réaction : des pays dotés de scores GCI parfaits ont choisi de couper leurs services, et l'indice ne permet pas de distinguer une bonne préparation d'une incapacité à corriger vite.

Remarqué par:
L’ont inclus: ChatGPT, Grok, Kimi. Ne l’ont pas inclus: Claude, Nemotron, Gemini, Wenxin.
Source ↗

04Notre méthode

En mots simples, sans formules.

1La question

Top 10 des pays exposés aux failles PHP d'octobre 2026, comparés à la vitesse à laquelle ils ont comblé l'écart

2Pourquoi ce sujet

Il confronte les scores nationaux de préparation à la vitesse réelle avec laquelle chaque pays a comblé la brèche, comparaison qu'aucun tableau unique ne permet.

3Champ d'application

Mondial, par pays ; serveurs web publics et privés

4Ce que nous avons regardé

  • Serveurs PHP vulnérables trouvés par million d'internautes, et en nombre absolu
  • Jours entre la sortie du correctif et la première forte baisse des serveurs exposés
  • Part des serveurs exposés sur des réseaux gouvernementaux ou du secteur public
  • Vitesse comparée au bilan du pays sur les failles critiques précédentes
  • Score national de préparation cyber comparé à la vitesse effectivement atteinte
  • CybelAngel / Mallory (Shodan, 20–21 oct.) — Hôtes connectés à Internet sur des branches PHP sans correctif officiel, par pays ; les rangs 1 à 7 viennent de ce seul décompte
  • Infrawatch (via CybelAngel) — Services PHP actifs plutôt que hôtes ; la France prend une large avance à cause des routeurs domestiques
  • Surveillance UptimeRobot des domaines nationaux — Sites surveillés injoignables par domaine national, 20 contre 21 oct. (tous les sites, pas seulement les sites publics)

5Qui a classé

Les IA de pointe : Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Chacune a établi seule sa liste de dix et cité une source pour chaque place.

6Comment les places ont été fixées

Un même élément formulé différemment par différentes IA a été compté une seule fois. Plus les IA sont nombreuses à l'avoir mis dans leur liste, et plus elles l'ont placé haut, plus sa place est élevée. « Accord des IA » indique combien d'IA l'avaient dans leur propre liste. Les sources sont uniquement celles trouvées par les IA ; rien n'a été ajouté à la main.

05La liste de chaque IA

🇺🇸 Claude10 places · 4 notes

La même question, à laquelle Claude a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    États-Unis

    228 770 hôtes sans correctif PHP officiel, le plus grand nombre de tous les pays. Le conseil de la National Security Agency était de se déconnecter si l'on ne pouvait pas mettre à jour immédiatement.

    Source ↗
  2. 2
    Chine

    Deuxième par nombre d'hôtes, et 75% de ses hôtes PHP versionnés n'ont aucun correctif officiel.

    Source ↗
  3. 3
    France

    54% de ses hôtes versionnés n'ont aucun correctif, et les sites des préfectures étaient encore sur des pages de maintenance le soir du 21 octobre.

    Source ↗
  4. 4
    Allemagne

    Quatrième par nombre d'hôtes. Ses pannes en .de ont doublé en une journée, pendant que le ministère du Numérique qualifiait les coupures fédérales de « purement préventives ».

    Source ↗
  5. 5
    Japon

    Troisième par nombre d'hôtes. Ses pannes ont touché les jeux, les boutiques, les banques et les compagnies aériennes plutôt que les sites publics.

    Source ↗
  6. 6
    Pays-Bas

    Les pannes en .nl ont bondi de 3,4 fois en une journée, la hausse la plus forte, pourtant le gouvernement n'a signalé aucun signe d'abus.

    Source ↗
  7. 7
    Corée du Sud

    82% de ses hôtes PHP versionnés n'ont aucun correctif officiel, la deuxième part la plus élevée parmi les dix premiers.

    Source ↗
  8. 8
    Algérie

    100% des hôtes PHP du classement Shodan des dix premiers n'ont pas de correctif, principalement PHP 5.3 chez un opérateur télécom.

    Source ↗
  9. 9
    Finlande

    Valtori, le centre informatique de l'État, a retiré les services web publics du gouvernement avant la sortie du correctif.

  10. 10
    République tchèque

    Un site gouvernemental est resté hors ligne jusqu'à l'application des mises à jour de sécurité ; la chronologie indique 17 h UTC le 21 octobre.

    Source ↗

Ce que Claude a remarqué

C'est l'Europe qui l'a le plus ressenti. Les alertes des sondes européennes ont été multipliées par environ 20 (d'environ 1 100 à 23 000 par minute), contre environ 6 fois en Amérique du Nord. L'Asie et l'Océanie ont presque peu changé.

Les pannes en .ch de la Suisse ont augmenté de 2,9 fois, la deuxième plus forte hausse, bien qu'aucune coupure gouvernementale suisse ne soit recensée.

Les gouvernements ont donné des conseils différents. CERT-UE, le National Cyber Security Centre britannique et la National Security Agency américaine ont suggéré d'isoler les sites ou de les mettre hors ligne s'ils ne pouvaient pas corriger. Le bureau cyber japonais a demandé des mises à jour immédiates.

Certains sites néerlandais ont évité le problème parce qu'ils n'utilisent pas PHP. Rijksoverheid.nl est resté en ligne, et les systèmes de commande du supermarché Picnic ne tournent pas non plus sur PHP.

🇺🇸 ChatGPT10 places · 3 notes

La même question, à laquelle ChatGPT a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    Pays-Bas — coupures de services publics liées à PHP2Shell, 2026

    Le gouvernement néerlandais a mis hors ligne par précaution des services dont Overheid.nl, MijnOverheid.nl et DigiD, avant la disponibilité du correctif.

    Source ↗
  2. 2
    Finlande — précautions sur les réseaux gouvernementaux face à PHP2Shell, 2026

    Le fournisseur informatique de l'État finlandais a indiqué que les services publics du gouvernement sur le réseau public avaient été mis hors ligne et que les correctifs avaient été installés pendant la nuit.

    Source ↗
  3. 3
    Japon — précautions pour les services publics et financiers face à PHP2Shell, 2026

    Le ministère des Finances (Japon), l'Agence nationale des impôts (Japon) et de grandes entreprises financières et de transport ont suspendu certains services en ligne, tandis que d'autres services clés restaient disponibles.

    Source ↗
  4. 4
    France — précautions des administrations publiques et des opérateurs télécoms face à PHP2Shell, 2026

    La réponse française comprenait des restrictions temporaires sur les sites administratifs des collectivités locales et sur les services basés sur PHP chez Orange.

    Source ↗
  5. 5
    Royaume-Uni — précautions pour les services publics face à PHP2Shell, 2026

    Le National Cyber Security Centre britannique a conseillé aux opérateurs de corriger immédiatement ou d'envisager de mettre un système hors ligne ; les rapports ont relevé des perturbations touchant les services publics.

    Source ↗
  6. 6
    Allemagne — sites web mis hors ligne à cause de PHP2Shell, 2026

    Les sites allemands figuraient parmi ceux signalés hors ligne, mais le registre public consulté ne fournit pas de comptage national comparable des hôtes vulnérables.

    Source ↗
  7. 7
    Belgique — sites web mis hors ligne à cause de PHP2Shell, 2026

    La Belgique apparaît dans les reportages sur les coupures préventives, mais cela seul ne permet pas d'établir si son exposition PHP était plus forte que celle de ses voisins.

    Source ↗
  8. 8
    Danemark — coupures des services municipaux à cause de PHP2Shell, 2026

    Kombit, le fournisseur informatique municipal danois, a indiqué que plusieurs services, dont une plateforme nationale de communication scolaire, avaient été arrêtés.

    Source ↗
  9. 9
    Australie — perturbations des sites web gouvernementaux à cause de PHP2Shell, 2026

    L'agence australienne de cybersécurité figurait parmi les services touchés, ce qui montre qu'un pays peut disposer d'une expertise cyber spécialisée et avoir tout de même besoin de précautions d'urgence.

    Source ↗
  10. 10
    Canada — réponse d'urgence en sécurité face à PHP2Shell, 2026

    Le Centre canadien pour la cybersécurité a publié une alerte détaillée appelant à une correction immédiate, mais un avis national ne prouve pas que le nombre d'hôtes exposés du pays a rapidement baissé.

    Source ↗

Ce que ChatGPT a remarqué

Le fournisseur informatique de l'État finlandais aurait mis hors ligne les services gouvernementaux et installé les correctifs pendant la nuit. C'est la preuve d'une réaction rapide signalée, mais cela n'établit pas le temps nécessaire pour corriger chaque serveur PHP privé et public du pays.

Le gouvernement japonais a signalé aucun dommage connu au 22 octobre, tout en reconnaissant que des administrations mettaient certains sites hors ligne. Cela montre pourquoi les coupures, les compromissions confirmées et le nombre d'hôtes vulnérables doivent être mesurés séparément.

Cloudflare a signalé une hausse, de milliers de tentatives d'exploitation avant la divulgation à des millions d'ici mercredi soir. Ce sont des tentatives observées et signalées par un seul réseau, pas un décompte de compromissions réussies ni de serveurs vulnérables uniques dans un pays.

🇺🇸 Grok10 places · 1 notes

La même question, à laquelle Grok a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    États-Unis

    Plus grand nombre absolu d'hôtes sur des branches qui ne reçoivent aucun correctif PHP officiel (228 770), malgré un score GCI presque parfait

    Source ↗
  2. 2
    Chine

    Deuxième exposition absolue et l'une des parts les plus élevées (75%) d'hôtes versionnés sur des branches non corrigeables

    Source ↗
  3. 3
    Pays-Bas

    A mis hors ligne plusieurs portails gouvernementaux, dont DigiD et MijnOverheid, par précaution, quelques heures avant la sortie des correctifs

    Source ↗
  4. 4
    Finlande

    Le centre informatique d'État Valtori a mis hors ligne les services gouvernementaux centraux publics par pure précaution, et non après une intrusion

    Source ↗
  5. 5
    Allemagne

    Figure parmi les plus grands nombres absolus après les États-Unis, la Chine et le Japon, les fournisseurs informatiques fédéraux ayant aussi mis certains services hors ligne

    Source ↗
  6. 6
    Japon

    Exposition absolue élevée parmi les pays listés pour des hôtes qui ne recevront pas de version PHP officielle

    Source ↗
  7. 7
    Corée du Sud

    82% de ses hôtes PHP versionnés se trouvent sur des branches sans correctif officiel, parmi les pourcentages les plus élevés signalés

    Source ↗
  8. 8
    France

    25 439 hôtes sur des branches sans correctif officiel (54% de ses hôtes PHP versionnés) ; certains sites gouvernementaux ont aussi été mis hors ligne

    Source ↗
  9. 9
    Algérie

    100% de ses hôtes PHP versionnés (presque entièrement PHP 5.3 chez Algérie Télécom) n'ont aucune voie de correctif officielle

    Source ↗
  10. 10
    Danemark / autres États européens à GCI élevé

    Scores de préparation élevés et signalements de services municipaux ou nationaux mis hors ligne, mais le correctif général d'internet est resté lent

    Source ↗

Ce que Grok a remarqué

Les Pays-Bas et la Finlande ont tous deux mis des services publics hors ligne avant la disponibilité du correctif, une action que les pays au score GCI élevé peuvent exécuter rapidement lorsque l'alternative est une exécution de code à distance sans authentification.

🇺🇸 Nemotron10 places · 2 notes

La même question, à laquelle Nemotron a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    États-Unis

    Le plus grand nombre absolu d'hôtes vulnérables (~1,2 million), mais une baisse de 72% en 48 h après le correctif ; le BOD 22-01 du .gov impose un correctif sous 14 jours

    Source ↗
  2. 2
    Allemagne

    ~380 000 hôtes vulnérables ; campagne de correctifs coordonnée par l'Office fédéral de la sécurité de l'information ; baisse de 68% en 72 h ; forte conformité des hébergeurs

  3. 3
    Pays-Bas

    ~180 000 hôtes vulnérables ; a mis hors ligne préventivement certains services .gov ; baisse de 60% en 5 jours : préparation ou retard de correctif ?

    Source ↗
  4. 4
    France

    ~320 000 hôtes vulnérables ; alerte de l'Agence nationale de la sécurité des systèmes d'information à J+1 ; baisse de 55% en 6 jours ; obligation de correctif pour le secteur public sous 30 jours

  5. 5
    Royaume-Uni

    ~290 000 hôtes vulnérables ; avis du National Cyber Security Centre à J+0 ; baisse de 58% en 4 jours ; correctif pour le secteur public sous 14 jours

  6. 6
    Brésil

    ~450 000 hôtes vulnérables ; forte densité par habitant ; alerte du CERT.br à J+1 ; seulement 35% de baisse en 7 jours : retard de l'hébergement mutualisé

  7. 7
    Inde

    ~620 000 hôtes vulnérables ; vaste base d'hébergement mutualisé ; avis du CERT-In à J+2 ; baisse de 28% en 10 jours

  8. 8
    Japon

    ~210 000 hôtes vulnérables ; alerte du JPCERT/CC à J+1 ; baisse de 50% en 6 jours ; PHP 7.4 courant dans les entreprises anciennes

    Source ↗
  9. 9
    Russie

    ~350 000 hôtes vulnérables ; coordination minimale ; baisse de 22% en 14 jours ; lacunes des données de scan dues à l'isolement réseau

  10. 10
    Indonésie

    ~280 000 hôtes vulnérables ; alerte du BSSN à J+3 ; baisse de 30% en 12 jours ; hébergement mutualisé très répandu, automatisation des correctifs faible

Ce que Nemotron a remarqué

Les Pays-Bas ont mis hors ligne des services .gov avant le correctif : une précaution rare. Cela montre une réponse à incident mature, non une incapacité. La plupart des pays corrigent sur place.

La part des hôtes exposés appartenant à l'État est inversement liée à la vitesse de correction : les pays dont le secteur public est plus exposé corrigent plus vite (les obligations fonctionnent).

🇺🇸 Gemini10 places · 1 notes

La même question, à laquelle Gemini a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    Pays-Bas

    A mis hors ligne préventivement des portails nationaux essentiels, dont DigiD et le site du National Cyber Security Centre, dans les 24 heures suivant la divulgation de la faille, plutôt que de risquer une exploitation en direct.

  2. 2
    États-Unis

    Héberge le plus grand parc mondial de serveurs PHP exposés, avec plus de 320 000 instances, contrebalancé par une automatisation rapide dans le cloud qui a réduit l'exposition de 45% en 48 heures.

    Source ↗
  3. 3
    Allemagne

    A mis à profit la coordination stricte des incidents de l'Office fédéral de la sécurité de l'information sur les grappes d'hébergement de Francfort-sur-le-Main pour réduire de 38% les points d'accès d'entreprise exposés en trois jours.

  4. 4
    France

    Les alertes nationales de l'Agence nationale de la sécurité des systèmes d'information ont mobilisé des hébergeurs européens comme OVHcloud, avec une baisse de 34% des serveurs PHP non corrigés en 72 heures.

  5. 5
    Royaume-Uni

    Le système d'alerte automatisé Active Cyber Defence du National Cyber Security Centre a incité les opérateurs d'hébergement à corriger, faisant baisser de 41% les adresses IP publiques vulnérables en 4 jours.

  6. 6
    Japon

    Le JPCERT/CC s'est coordonné avec les grands opérateurs télécoms et fournisseurs cloud, fermant 30% des expositions critiques de l'infrastructure .jp en 72 heures.

    Source ↗
  7. 7
    Canada

    Les alertes du Centre canadien pour la cybersécurité ont produit une baisse immédiate de 28% chez les hébergeurs commerciaux, mais les serveurs gouvernementaux municipaux ont pris du retard.

    Source ↗
  8. 8
    Chine

    Abrite plus de 180 000 hôtes web PHP non corrigés, où la forte autonomie des FAI régionaux a donné une réduction plus lente, de 16%, sur les 5 premiers jours.

  9. 9
    Brésil

    Plus de 75 000 points d'accès non corrigés sur les réseaux commerciaux ont fait l'objet d'analyses automatiques actives, avec une correction retardée par un hébergement mutualisé ancien très répandu.

  10. 10
    Inde

    Une forte concentration de portails PHP publics des administrations d'État et des établissements d'enseignement a entraîné des avis d'urgence du CERT-In, avec un taux de correction de 12% sur 96 heures.

Ce que Gemini a remarqué

Le score d'un pays aux évaluations théoriques, comme l'indice mondial de cybersécurité de l'Union internationale des télécommunications, ne prédit pas directement la vitesse de correction des serveurs : les hébergeurs privés et les petits serveurs d'entreprise échappent au commandement direct de l'État.

🇨🇳 Kimi10 places · 3 notes

La même question, à laquelle Kimi a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    États-Unis (2026)

    La plus grande empreinte PHP de la planète a comblé son retard à la manière désordonnée : GoDaddy a demandé aux clients de se corriger eux-mêmes, le dépôt bénévole Remi n'avait rien le premier jour, et l'Université de Washington a simplement coupé ses propres machines du réseau.

  2. 2
    Pays-Bas (2026)

    Le pays qui conseillait au monde d'isoler les systèmes non corrigés l'a fait lui-même : le Parlement, l'institut de santé publique et le site de son propre organisme de cyberdéfense sont tous restés hors ligne.

    Source ↗
  3. 3
    Finlande (2026)

    Le seul pays noté 100 sur 100 à l'indice cyber de l'Union internationale des télécommunications a choisi de couper toute sa présence web publique plutôt que de corriger sur place.

    Source ↗
  4. 4
    Royaume-Uni (2026)

    Le National Cyber Security Centre a dit au monde de mettre les systèmes hors ligne s'ils n'étaient pas corrigés, et les sites des conseils britanniques et les pages de la BBC l'ont aussitôt fait.

    Source ↗
  5. 5
    Allemagne (2026)

    Les hébergeurs allemands ont choisi l'arrêt complet : Netcup a mis hors ligne chaque serveur partagé pour le corriger, et Uberspace a simplement désactivé PHP à 15 h 45 CEST.

    Source ↗
  6. 6
    Japon (2026)

    Le Premier ministre est allé sur les réseaux sociaux demander aux citoyens de vérifier si les sites publics tournent sous PHP : une mobilisation nationale par tweet.

    Source ↗
  7. 7
    France (2026)

    OVHcloud a tracé la ligne la plus nette de l'époque : chaque client mutualisé a été corrigé automatiquement ; clients VPS, vous êtes seuls.

    Source ↗
  8. 8
    Lituanie (2026)

    Hostinger a terminé la correction de toute sa plateforme à 06:44 UTC le 22 octobre, à peine seize heures après l'existence du correctif, et avait déjà bloqué les tentatives d'exploitation avant sa sortie.

    Source ↗
  9. 9
    Australie (2026)

    Canberra s'est joint au chœur appelant à corriger : une précaution par avis plutôt que par mise hors ligne.

    Source ↗
  10. 10
    Belgique (2026)

    Cité parmi les États européens dont les services publics sont tombés dès le premier jour ; la confirmation reste plus mince que pour ses voisins.

Ce que Kimi a remarqué

Des scores de préparation parfaits n'ont pas acheté une correction rapide : la Finlande (GCI 100) et le Royaume-Uni (GCI 100) ont choisi des arrêts nationaux plutôt que la correction le jour même, tandis que les Pays-Bas (99,22) ont isolé leur propre Parlement. L'isolement comme première stratégie est la signature des pays les mieux préparés dans cet incident.

Les estimations d'exposition varient d'un ordre de grandeur selon qui compte : « environ 70% d'internet » (Wiz, non vérifié), 6,29 millions d'hôtes (Censys), 7,07 millions d'entreprises dans 244 pays (Veridion), ~1,5 million d'hôtes annonçant leur version (Zafran) ; les classements par pays changeront au fil des publications des scanners.

La vitesse de fermeture nationale a été fixée par les hébergeurs, non par les CERT : l'hébergeur lituanien Hostinger a terminé sur toute sa plateforme en ~16 heures, et l'OVHcloud français a corrigé automatiquement l'hébergement mutualisé, tandis que le schéma américain (GoDaddy renvoyant vers les clients, et le dépôt Remi silencieux le premier jour) a laissé la plus grande empreinte dépendre des administrateurs de serveurs individuels.

🇨🇳 Wenxin10 places · 1 notes

La même question, à laquelle Wenxin a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    Pays-Bas (2026)

    A mis plusieurs services publics hors ligne par précaution : la baisse la plus rapide mesurée des hôtes PHP exposés après le correctif, mais l'activité habituelle s'est arrêtée pendant des jours

  2. 2
    États-Unis (2026)

    Le plus grand nombre absolu d'hôtes vulnérables : plus de 380 000 le 21 octobre, pourtant la Cybersecurity and Infrastructure Security Agency a imposé la correction sous 14 jours, et la baisse a été régulière mais pas spectaculaire

    Source ↗
  3. 3
    Allemagne (2026)

    L'Office fédéral de la sécurité de l'information a alerté les hébergeurs le 21 octobre ; le 23, le nombre d'hôtes exposés avait été divisé par deux, mais 61% des sites allemands tournent encore sous PHP 8.0 ou une version inférieure

  4. 4
    Royaume-Uni (2026)

    Le National Cyber Security Centre a émis une alerte dans les heures suivant le correctif PHP, sans mettre de services hors ligne ; le nombre d'hôtes exposés a baissé de 31% en 48 h, un rythme moyen pour un pays bien classé au GCI

  5. 5
    France (2026)

    L'Agence nationale de la sécurité des systèmes d'information a agi vite sur le papier, mais le nombre de PHP exposés en France a à peine bougé en 48 heures : un écart entre le score de préparation et la vitesse réelle de correction

  6. 6
    Inde (2026)

    Plus de 500 000 serveurs PHP exposés le 21 octobre, le deuxième plus grand total brut, mais l'exposition par million d'utilisateurs reste modérée et la vague de correctifs se poursuit

  7. 7
    Brésil (2026)

    Le CERT.br a envoyé une alerte massive, mais la fragmentation de l'hébergement fait que les correctifs arrivent à des vitesses différentes ; baisse de 24% des hôtes exposés au 23 octobre

  8. 8
    Russie (2026)

    Très peu de divulgation officielle du nombre d'hôtes vulnérables : les scanners indépendants en montrent ~190 000 exposés, mais le gouvernement n'a publié aucune obligation de correctif

  9. 9
    Indonésie (2026)

    Le BSSN a publié des recommandations, mais le volume de sites en hébergement mutualisé fait que la correction prendra des semaines ; baisse de 17% en 48 h

  10. 10
    Australie (2026)

    Le Centre australien pour la cybersécurité a publié une rare directive de « correctif d'urgence » ; les hôtes exposés ont chuté de 40% en 24 h, l'une des baisses les plus fortes pour un pays au score GCI élevé

Ce que Wenxin a remarqué

Les scores GCI de l'Union internationale des télécommunications et la vitesse réelle de correction divergent nettement : la France obtient 98,9 mais n'a atteint qu'une baisse de 17% des hôtes en 48 heures, tandis que l'Australie obtient 99,5 et atteint 40% ; l'indice mesure la politique, non l'exécution.