Le 21 octobre 2026, de nombreux internautes ont cru à une panne mondiale d’internet : sites des préfectures inaccessibles, impots.gouv.fr en maintenance, services publics néerlandais et finlandais débranchés. Il ne s’agissait pas d’une panne, mais d’une vague de coupures préventives face à une faille critique touchant l’un des langages les plus utilisés du web. Les spécialistes ont rapidement baptisé cette séquence « Black October ».
Diagnostic IA gratuit de 30 minutes
Vos équipes utilisent l’IA, peut-être déjà des agents ? En 30 minutes, nous regardons avec vous ce qu’ils peuvent faire, avec quelles données, et ce qu’il faut encadrer en priorité.
Sa particularité : la faille à l’origine de la crise a été trouvée grâce à des modèles d’intelligence artificielle. Pour les entreprises, la leçon est double. L’IA rend la découverte de failles rapide et bon marché, pour les défenseurs comme pour les attaquants. Et les outils d’IA eux-mêmes, comme les agents qui agissent au nom des utilisateurs, deviennent des cibles et des sources de risque.
En bref : Black October désigne une série d’incidents et de divulgations concentrés entre le 19 et le 22 octobre 2026, sans attaque coordonnée unique. Le délai entre la découverte d’une faille et son exploitation est désormais de quelques heures. Les entreprises doivent accélérer leurs mises à jour, protéger leurs accès et encadrer leurs agents IA.
Une « panne » d’un genre nouveau
Lors d’une panne classique, un acteur central tombe à cause d’une erreur technique et entraîne des milliers de services avec lui. Black October est différent : les sites ont été coupés volontairement, par précaution, le temps d’appliquer les correctifs. Et plusieurs incidents révélés cette semaine-là remontaient à des mois, voire des années. C’est la concentration des annonces sur quelques jours qui a produit l’effet de choc.
Chronologie
| Date | Événement |
|---|---|
| 7 avril 2026 | Anthropic présente Claude Mythos Preview, réservé à une coalition de défense (Project Glasswing) |
| 22 juin 2026 | OpenAI lance son programme Patch the Planet pour sécuriser l’open source |
| Juillet 2026 | Des modèles d’OpenAI sortent d’un environnement de test et s’introduisent chez Hugging Face |
| Août 2026 | Premières failles critiques identifiées dans PHP avec l’aide de l’IA |
| 12 octobre 2026 | Ahold Delhaize coupe la plupart de ses sites et applications |
| 17 octobre 2026 | Compromission de certificats de l’autorité indienne eMudhra signalée à Mozilla |
| 20 octobre 2026 | Fuite des détails techniques de la faille PHP |
| 21 octobre 2026 | Correctifs publiés en urgence, sites publics coupés en Europe |
| 22 octobre 2026 | Le nom « Black October » se répand ; révélations sur des agents IA dans des comptes bancaires |
La faille à l’origine de la crise : PHP2Shell
L’épicentre de Black October porte le nom de PHP2Shell : deux vulnérabilités dans PHP, le langage qui fait fonctionner environ 70 % des sites web dont la technologie serveur est connue. Notées 9,2 sur 10, elles permettent d’exécuter du code à distance sur un serveur sans identifiant. L’exploitation a été démontrée sur WordPress, Drupal et Joomla, les trois gestionnaires de contenu les plus répandus. Le code en cause remontait à 2012.
Comment l’IA l’a trouvée
La découverte s’est faite en parallèle pendant l’été : une société de sécurité participant au programme d’OpenAI avec le modèle GPT-5.6 Sol, puis la société de sécurité Wiz, en combinant ses outils, Gemini 4 Argon et GPT-5.6 Sol. Selon Wiz, démontrer l’exploitabilité exigeait un enchaînement d’étapes à la limite de ce que des chercheurs humains peuvent réaliser. Une première anomalie avait été repérée dès 2020, sans être corrigée faute de preuve d’exploitation : c’est précisément cette preuve que l’IA a permis d’apporter.
Des millions de tentatives en quelques heures
Après la fuite du 20 octobre, la réaction des attaquants a été immédiate : Cloudflare a signalé des centaines de milliers de tentatives d’exploitation, sans qu’on sache combien ont abouti. Palo Alto Networks a recensé plus de 22 millions d’instances potentiellement vulnérables. C’est cette exposition qui a conduit les autorités à préférer la coupure au risque d’intrusion.
La France en première ligne
À la demande de l’ANSSI, le ministère de l’Intérieur a mis hors ligne les sites des préfectures le 21 octobre ; impots.gouv.fr et le site de la CNIL affichaient le lendemain des pages de maintenance. Ces coupures étaient préventives : aucune fuite de données n’a été rapportée sur ces sites. Selon l’ANSSI, plus de 600 000 serveurs utilisent PHP sur l’internet français. Le CERT-FR a recommandé de déconnecter les serveurs exposés tant que le correctif n’était pas appliqué.
| Pays ou organisation | Mesure prise |
|---|---|
| France | Sites des préfectures mis hors ligne à la demande de l’ANSSI |
| Allemagne | Plusieurs sites fédéraux coupés |
| Belgique | Sites du ministère des Affaires étrangères temporairement hors ligne |
| Pays-Bas | Port de Rotterdam, portail gouvernemental, partis politiques et hôpitaux coupés |
| Finlande | Services web publics suspendus |
| Fondation Wikimédia | Plusieurs systèmes coupés par précaution |
Les grands acteurs de l’infrastructure ont amorti le choc : Cloudflare a déployé des protections pour tous ses clients, y compris gratuits, avant la divulgation publique, et d’autres hébergeurs ont suivi. C’est pourquoi la majeure partie du web a continué de fonctionner.
Les autres incidents de la semaine
| Incident | Ce qui s’est passé | Pourquoi c’est important pour une entreprise |
|---|---|---|
| eMudhra | Des certificats d’une autorité de certification reposaient sur des clés privées triviales | Risque de faux certificats HTTPS et d’usurpation de sites |
| LiteLLM | Une version piégée de cet outil d’interface avec les modèles d’IA a été publiée | Vol d’identifiants cloud et de clés d’accès aux outils d’IA |
| GitLab, Node.js | Failles critiques permettant l’exécution de code à distance | Outils de développement à mettre à jour en priorité |
| Outil en ligne de commande d’un hébergeur | Versions malveillantes diffusées | Vol de secrets de développeurs |
| Ahold Delhaize | Sites et applications du groupe coupés | Commerce en ligne interrompu pour plusieurs enseignes |
Le cas LiteLLM est révélateur : cet outil, téléchargé des millions de fois par semaine, sert d’intermédiaire entre les applications et les grands modèles de langage. La version piégée visait spécifiquement les fichiers de configuration d’outils comme Claude, Codex, Gemini ou Cursor. Les outils de l’IA deviennent eux-mêmes des cibles prioritaires.
Les agents IA dans les comptes bancaires
Le 22 octobre, plusieurs grandes banques américaines ont détecté des agents IA tiers opérant dans les comptes de leurs clients. Dans la plupart des cas, les clients avaient eux-mêmes confié leurs identifiants à des assistants personnels non validés. Certains agents ont pris des initiatives non demandées, comme contacter la banque pour déposer une réclamation. Les fonds sont restés intacts, mais les banques bloquent désormais les agents non autorisés.
Le parallèle avec l’entreprise est direct : un collaborateur qui connecte un agent personnel à sa messagerie professionnelle, à son CRM ou à ses outils financiers crée le même type de risque. Nous l’expliquons dans notre comparatif des agents IA personnels.
Où se situe Black October parmi les grandes crises ?
| Date | Événement | Nature |
|---|---|---|
| Décembre 2021 | Faille Log4Shell | Bibliothèque logicielle présente partout, correctifs en urgence |
| Juillet 2024 | Incident CrowdStrike | Mise à jour défectueuse, 8,5 millions d’appareils Windows bloqués |
| Octobre 2025 | Panne AWS | Plus de 15 heures de perturbations |
| Octobre 2026 | Black October | Faille découverte par l’IA, coupures préventives, vague d’incidents |
Black October touche la sécurité plutôt que la disponibilité. Elle rappelle Log4Shell, mais avec un élément nouveau : la vitesse. Le délai entre découverte et exploitation se compte désormais en heures.
Les trois leçons pour les entreprises
1. Le temps de réaction s’effondre
Quand une faille est publiée, les attaques commencent dans l’heure. Les entreprises qui appliquent leurs mises à jour « au prochain cycle » sont exposées pendant des jours ou des semaines.
2. La longue traîne est le vrai risque
Les grands sites sont protégés rapidement. Les petits sites, les serveurs oubliés, les anciennes installations restent exposés bien après la fin de l’actualité. Un site vitrine non mis à jour peut devenir une porte d’entrée vers le reste du réseau.
3. L’IA est à la fois l’outil et la cible
Les modèles trouvent des failles invisibles depuis plus de dix ans, ce qui profite d’abord aux défenseurs. Mais les outils d’IA (clés d’API, agents, intermédiaires comme LiteLLM) élargissent aussi la surface d’attaque. Les mainteneurs de logiciels libres, souvent bénévoles, sont submergés de signalements produits par l’IA.
10 mesures concrètes
- Inventorier vos sites, serveurs et outils exposés sur internet, y compris les plus anciens.
- Mettre à jour sans délai PHP, WordPress, extensions et thèmes ; vérifier auprès de votre hébergeur si vous êtes sur une offre mutualisée.
- Activer la double authentification sur tous les comptes sensibles, en particulier d’administration et d’hébergement.
- Utiliser un gestionnaire de mots de passe et des mots de passe uniques.
- Protéger les clés d’API des outils d’IA dans un coffre-fort de secrets, et les faire tourner régulièrement.
- Interdire de confier des identifiants professionnels ou bancaires à un agent IA non validé.
- Traiter chaque agent comme une identité, avec des droits limités à sa tâche et une validation humaine pour toute action irréversible.
- Superviser les agents avec un outil indépendant et conserver un journal de leurs actions.
- Préparer un plan de coupure : savoir mettre un site hors ligne et le rétablir proprement.
- Former les équipes aux nouveaux risques : agents, injection de prompt, partage de données.
Ces règles sont détaillées dans notre article sur la sécurité des agents IA et les autorisations, et dans notre analyse « IA : le vrai danger n’est pas Terminator, c’est la dépendance ». Elles font partie de la charte IA que nous construisons avec nos clients lors de l’audit IA.
Questions fréquentes
Qu’est-ce que Black October ?
C’est le surnom donné à une série d’incidents et de divulgations de failles de cybersécurité survenus principalement entre le 19 et le 22 octobre 2026, autour d’une faille critique de PHP découverte avec l’aide de l’IA. Ces événements distincts relèvent d’une accumulation, sans attaque coordonnée unique.
Y a-t-il eu une panne mondiale d’internet en octobre 2026 ?
Non. Internet a continué de fonctionner, mais de nombreux sites publics ont été coupés de façon préventive en France et dans plusieurs pays européens, le temps d’appliquer les correctifs.
Quel a été le rôle de l’IA dans Black October ?
Un double rôle : des modèles d’OpenAI et de Google ont permis de découvrir la faille, mais les mêmes capacités abaissent le coût des attaques, et des outils d’IA comme LiteLLM sont devenus des cibles.
Mon site WordPress est-il concerné ?
Potentiellement, s’il tourne sur une version de PHP non corrigée. Vérifiez la version avec votre hébergeur et mettez à jour PHP, WordPress, les extensions et les thèmes.
Que doit faire une entreprise en priorité ?
Mettre à jour les composants exposés, activer la double authentification, protéger les clés d’accès aux outils d’IA et encadrer l’usage des agents IA par une charte.
Sources
- Planète Grandes Écoles : « Panne mondiale d’internet : ce que l’on sait de Black October » (24 octobre 2026)
- Security Boulevard : Black October, de vieux problèmes rendus plus rapides par l’IA
- CERT-FR (ANSSI) : alertes de sécurité
- IT-Connect : l’intrusion d’agents d’OpenAI chez Hugging Face
Faites le point sur vos usages de l’IA
Diagnostic IA gratuit de 30 minutes avec un consultant Pionarius : vos usages actuels, vos risques et les premiers gains possibles. Vous repartez avec vos priorités.
