Failles PHP : pourquoi ameli et amelipro ont coupé, expliqué simplement

« Un patient voulait télécharger son attestation de droits, son compte ameli ne s’ouvrait pas. Le soir, à la radio, on parlait d’une « faille PHP » qui coupait des sites partout. J’ai fait semblant de comprendre. »Sam, préparateur · un jeudi d’octobre

À partir du 21 octobre 2026, de nombreux sites publics ont été coupés par précaution, et le portail amelipro des professionnels de santé a été fermé à titre conservatoire. En cause : deux failles graves dans PHP, un langage informatique qui fait tourner une grande partie du web. Pas besoin d’être informaticien pour comprendre ce qui s’est passé : voici l’explication simple, ce que ça change au comptoir, et la question à poser si ton officine a un site internet.

PHP, c’est quoi ?

Quand tu ouvres une page web, deux mondes travaillent. Ton navigateur affiche la page. Et quelque part, un ordinateur appelé serveur la fabrique à la demande : il va chercher les informations, vérifie ton identifiant, prépare la page et te l’envoie. PHP est l’un des langages les plus utilisés pour faire ce travail côté serveur. WordPress, la plupart des boutiques en ligne et beaucoup de sites institutionnels reposent dessus.

Une image pour s’en souvenir : si un site était une officine, PHP serait l’équipe en réserve qui prépare chaque commande. Peu importe la qualité de la vitrine : si la porte de la réserve ferme mal, tout le monde peut entrer.

Ce qui s’est passé

• Deux failles critiques ont été découvertes dans PHP (références CVE-2026-109618 et CVE-2026-109619). Elles permettent à un pirate d’envoyer une requête qui fait exécuter ses propres instructions par le serveur, sans mot de passe. Concrètement : prendre la main sur un site, voler ou détruire des données, ou s’en servir comme porte d’entrée vers d’autres systèmes.
• Le 21 octobre 2026, l’équipe de PHP a publié les correctifs (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35) en demandant à tous les utilisateurs de mettre à jour immédiatement. Les versions 8.1 et plus anciennes ne sont plus maintenues : l’équipe de PHP a fourni exceptionnellement des correctifs minimaux pour les versions 7.4, 8.0 et 8.1, et certains hébergeurs proposent leurs propres versions corrigées, mais la migration vers une version suivie reste à prévoir.
• Le même jour, le CERT-FR (le centre d’alerte de l’ANSSI) a publié un avis. Le lendemain, Cybermalveillance.gouv.fr a recommandé de mettre à jour au plus vite, ou d’isoler les serveurs qui ne peuvent pas l’être.
• Le 23 octobre, PHP a signalé un troisième problème (CVE-2026-115560), qui ne concerne que des configurations inhabituelles et que les correctifs du 21 octobre ne couvrent pas : en attendant la prochaine version, PHP recommande de désactiver un réglage précis (le suivi de progression des envois de fichiers). C’est à l’hébergeur de s’en charger.
• Résultat : beaucoup d’organismes ont débranché leurs sites le temps de les corriger, par prudence. Selon la presse, des sites de préfectures et Météo-France ont été fermés par précaution le 21 octobre, Santé publique France a été signalé indisponible, et impots.gouv.fr a connu une maintenance partielle ; plusieurs ont rouvert dès le soir.

Pour les sites publics, ces coupures ont le plus souvent été annoncées comme préventives : une mise à l’abri volontaire, comme on baisse le rideau pour réparer une serrure.

Les services de santé touchés

• Le compte ameli des assurés et son application ont été très perturbés à partir du soir du 21 octobre. L’Assurance maladie a évoqué une « maintenance programmée », sans en préciser la cause. La partie publique d’ameli.fr, elle, restait consultable.
• Le portail amelipro, qui donne aux professionnels de santé l’accès aux téléservices, a été fermé « à titre conservatoire » : l’Assurance maladie a indiqué le 23 octobre qu’un de ses composants était touché par une vulnérabilité liée à PHP. Mise à jour du 29 octobre 2026 : selon la Cnam, citée par Egora, le portail a rouvert le 27 octobre avec une reprise partielle ; certains services, dont Asafo, restaient en maintenance. Avant une démarche, ouvre le service concerné ou suis le message de ton éditeur.
• Pour le comptoir : selon l’Assurance maladie, certains téléservices intégrés au logiciel métier restent utilisables, sauf difficulté signalée par l’éditeur. Suis les consignes de ton éditeur pour les fonctions que tu utilises. La télétransmission des feuilles de soins, elle, passe par le logiciel, pas par le portail.
• Asafo-Pharma indisponible ? Une ordonnance suspecte se vérifie alors auprès du prescripteur ; note l’heure, le service indisponible et la démarche faite. La FSPF a dit veiller à ce qu’aucun indu ne soit réclamé pour une consultation impossible (Le Moniteur des pharmacies, 29 octobre) : c’est une vigilance syndicale, pas une dispense de l’Assurance maladie.

Ce que tu réponds au patient

• « Mon compte ameli ne marche pas, je n’ai pas mon attestation. » La panne du compte ameli n’empêche pas le tiers payant : la carte Vitale (ou l’appli carte Vitale) reste la référence, avec la vérification des droits habituelle. Pour obtenir une attestation, l’Assurance maladie répond au 36 46, du lundi au vendredi.
• « Mes données de santé ont été volées ? » Aucune fuite de données ameli ou amelipro n’a été annoncée par l’Assurance maladie, et les fermetures du 21 octobre ont été présentées comme préventives. Le CERT-FR a toutefois signalé, le 26 octobre, des tentatives d’exploitation des deux failles sur certains serveurs PHP : cela ne veut pas dire que le compte du patient a été lu. Rassure sans promettre, et invite à la prudence face aux messages qui exploitent l’actualité.
• Les faux messages, eux, vont arriver. Les escrocs profitent de chaque panne médiatisée : « votre compte ameli est suspendu, cliquez ici », « mettez à jour vos informations bancaires ». Le bon réflexe à transmettre : ne jamais cliquer, passer par l’application officielle ou taper soi-même l’adresse du site.

L’officine a un site internet : la question à poser

Site vitrine, réservation en ligne, click and collect ou vente en ligne de médicaments : si ton officine a un site, il y a de bonnes chances qu’il tourne sous PHP, souvent avec WordPress ou une boutique en ligne. Tu n’as rien à installer toi-même, mais une question à poser par écrit à ton hébergeur ou à ton prestataire :

Si un piratage touche des données personnelles (commandes, coordonnées ou données de patients), c’est une violation de données personnelles. L’hébergeur ou le prestataire doit en avertir l’officine sans tarder ; c’est le titulaire, responsable du traitement, qui agit. Il documente l’incident dans tous les cas. S’il existe un risque pour les personnes, il notifie la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance (un retard se justifie) ; si le risque est élevé, ce qui est en pratique le cas pour des données de santé, les patients concernés sont aussi prévenus. Les réflexes de base (sauvegardes, mots de passe, plan papier) sont dans notre article sur la cybersécurité de l’officine.

À retenir

• PHP est un langage qui fabrique les pages web côté serveur ; deux failles graves permettaient d’en prendre le contrôle sans mot de passe.
• Les correctifs du 21 octobre 2026 ferment les deux failles critiques ; une troisième, signalée le 23 octobre, attend la prochaine version de PHP. Beaucoup de sites ont été coupés par précaution le temps de les installer.
• Compte ameli perturbé, amelipro fermé à titre conservatoire puis rouvert le 27 octobre avec une reprise partielle ; certains téléservices intégrés au logiciel métier restaient utilisables, selon les consignes de l’éditeur.
• Au comptoir : la panne du compte ameli n’empêche pas le tiers payant avec la carte Vitale, le 36 46 en semaine pour les attestations, et prudence face aux faux messages.
• L’officine a un site ? Demande par écrit à l’hébergeur si PHP est corrigé.

Les questions qui reviennent

La juste doserelu et validé par Joseph Hobekkaya, docteur en pharmacie

Une faille n’est pas une attaque, et un site en maintenance n’est pas forcément un site piraté. Ce qui compte pour l’officine tient en deux gestes : rassurer les patients sans relayer de rumeur, et poser une question écrite à son hébergeur. Les vrais dégâts viennent souvent après, par les faux messages qui surfent sur la panique.

Thomas, Inès et Sam sont des personnages pédagogiques fictifs qui font vivre les situations de comptoir.

Repères pour professionnels : pour toute question technique sur ton site ou ton logiciel, ton hébergeur et ton éditeur restent les interlocuteurs.