Panne mondiale d’internet : ce que l’on sait de Black October, la crise cyber qui secoue le web

Sites des préfectures inaccessibles, impots.gouv.fr en maintenance, portails gouvernementaux néerlandais et finlandais débranchés, Fondation Wikimédia qui coupe une partie de ses systèmes : le 21 octobre 2026, beaucoup d’internautes ont cru assister à une panne mondiale d’internet. Derrière ces coupures en cascade se cache une crise de cybersécurité d’une ampleur inédite, rapidement surnommée Black October par les spécialistes. Son point de départ : une faille informatique mondiale découverte au cœur de l’un des composants les plus répandus du web, qui a poussé gouvernements et entreprises à débrancher leurs sites par précaution.

La singularité de cet octobre noir tient à son origine. Les failles les plus graves ont été trouvées par des modèles d’intelligence artificielle d’OpenAI et de Google, six mois après qu’Anthropic a présenté Claude Mythos, un modèle jugé trop puissant en cybersécurité pour être commercialisé. Au même moment, des banques américaines découvraient des agents IA non autorisés dans les comptes de leurs clients.

Faut-il parler d’effondrement d’internet ? Les faits invitent à la nuance, mais ils dessinent un basculement durable : la découverte de failles est devenue rapide et bon marché, pour les défenseurs comme pour les attaquants. Chronologie, chiffres, acteurs, comparaison avec les grandes pannes de l’histoire : voici tout ce qu’il faut savoir.

 

Black October : une panne mondiale d’internet d’un genre nouveau

Le terme Black October désigne une série d’incidents et de divulgations de vulnérabilités concentrés pour l’essentiel entre le 19 et le 22 octobre 2026. L’étiquette serait née sur X dans la matinée du 22 octobre, dans un message qualifiant les 48 heures précédentes de pires de l’histoire de la cybersécurité. Selon Axios, les professionnels du secteur ont adopté ce nom en raison du volume d’événements et du niveau de risque, tout en soulignant que de nombreuses organisations ont réussi à contenir la menace et à éviter des dégâts massifs.

La nature de l’événement le distingue des pannes classiques. Lors d’une panne internet mondiale habituelle, un acteur central tombe en raison d’une erreur technique et entraîne des milliers de services dans sa chute. Ici, les sites ont été coupés volontairement, de façon préventive, le temps d’appliquer des correctifs de sécurité. Black October relève aussi davantage d’une vague de divulgations que d’une attaque coordonnée : plusieurs incidents révélés cette semaine-là remontent à des mois, voire des années. La fuite de données de l’organisme ETS, prestataire du ministère de l’Éducation de Californie, s’est étalée de mai à septembre 2026, et les clés défaillantes de l’autorité de certification indienne eMudhra datent d’avril 2025. La concentration des annonces sur quelques jours a produit l’effet de choc.

Chronologie de Black October

La faille informatique mondiale à l’origine de la crise

L’épicentre de Black October porte un nom : PHP2Shell. Il regroupe deux vulnérabilités logées dans PHP, le langage qui fait tourner environ 70 % des sites web dont la technologie serveur est connue. Notées 9,2 sur 10, elles permettent à un attaquant d’exécuter du code à distance sur un serveur, sans aucun identifiant. La société de cybersécurité Wiz a démontré l’exploitation sur WordPress, Drupal et Joomla, les trois gestionnaires de contenu les plus répandus du web. Le code vulnérable remonte à 2012, et OpenAI évoque une faille présente depuis 14 ans. Le détail technique des vulnérabilités, les versions à installer et la marche à suivre sont présentés dans notre article consacré à la faille critique PHP.

Comment l’IA a découvert la faille

La découverte s’est faite en parallèle, au cours de l’été 2026. Selon Fortune, la société californienne Calif, invitée dans le cadre du programme Patch the Planet d’OpenAI, a identifié un premier élément début août grâce au modèle GPT-5.6 Sol. Wiz, filiale de Google, a trouvé sa propre faille le 19 août en combinant son outil Wiz Atlas, Gemini 4 Argon de Google et GPT-5.6 Sol. OpenAI a ensuite coordonné une coalition réunissant Wiz, Calif, la PHP Foundation, Cloudflare, plusieurs agences gouvernementales américaines et la société française Quarkslab.

Dans son analyse technique, Wiz explique que démontrer l’exploitabilité exigeait un enchaînement d’étapes d’une complexité extrême, à la limite de ce que des chercheurs humains peuvent réaliser, et que les modèles d’IA ont nettement abaissé cette barrière. Selon SecurityWeek, une première erreur liée à la mémoire avait d’ailleurs été repérée dès 2020, puis redécouverte en 2024, sans être corrigée faute de preuve d’exploitation possible. C’est précisément cette preuve que l’IA a permis d’apporter.

 

 

Des millions de tentatives d’attaque en quelques heures

La divulgation devait intervenir le 22 octobre. Le 20 octobre au soir, des détails ont fuité en ligne, et les correctifs ont été publiés en urgence le 21 octobre, avec un jour d’avance. La riposte des attaquants a été immédiate. D’après Fortune, Cloudflare a enregistré des dizaines de milliers de tentatives d’exploitation en 45 minutes, des centaines de milliers en deux heures, puis des millions dès le soir du 21 octobre. Amazon Web Services indique avoir observé des tentatives plusieurs jours avant la publication officielle, et Palo Alto Networks a recensé 22,6 millions d’instances potentiellement vulnérables. C’est cette exposition massive qui a conduit les autorités à préférer la coupure au risque d’intrusion.

 

Site des impôts en maintenance, préfectures coupées : la France en première ligne

En France, la réaction a été spectaculaire. Le ministère de l’Intérieur a mis hors ligne les sites des préfectures à la demande de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, les premières coupures étant constatées vers 14 heures le 21 octobre. Le lendemain matin, impots.gouv.fr et le site de la CNIL affichaient eux aussi des pages de maintenance. Pour les usagers, les espaces personnels et professionnels des impôts sont restés accessibles par des liens dédiés. Ces mises hors ligne relevaient de la prévention : à ce stade, aucune fuite de données touchant ces sites publics n’a été rapportée.

Selon l’ANSSI, plus de 600 000 serveurs utilisent le langage concerné sur l’internet français. Le CERT-FR, son centre de réponse aux incidents, a publié une alerte recommandant de déconnecter les serveurs exposés tant que le correctif n’était pas appliqué, et de bloquer en attendant certains envois de formulaires au niveau du serveur ou du pare-feu applicatif.

Le reste de l’Europe a suivi le même mouvement. Selon un recensement de Reuters, l’Allemagne, la Belgique, les Pays-Bas et la Finlande ont pris des mesures préventives, et le CERT-EU a recommandé de couper tout site impossible à corriger rapidement.

Les grands acteurs de l’infrastructure ont joué un rôle d’amortisseur. Cloudflare a déployé des règles de protection pour l’ensemble de ses clients, y compris les offres gratuites, environ neuf heures avant la divulgation publique. Fastly et Google Cloud ont également mis en place des protections partielles ou des mises à jour automatiques, ce qui explique pourquoi une grande partie du web a continué de fonctionner normalement pendant que les sites publics étaient coupés.

 

Lire plus : Fuite de données en Hauts-de-France : 545 000 personnes concernées, ce que l’on sait

 

Cyberattaque mondiale : les autres incidents de Black October

La faille de PHP a concentré l’attention, mais la semaine de Black October a aligné une série d’autres incidents majeurs, touchant aussi bien la confiance dans le chiffrement que les outils des développeurs et le commerce en ligne.

L’affaire eMudhra illustre la fragilité de la chaîne de confiance d’internet. Cette autorité, qui revendique plus de 60 millions de certificats émis, utilisait pour certains certificats des clés privées si faibles que le chercheur Scott Helme en a retrouvé une égale au nombre 4, selon The Register. Signalée à Mozilla le 17 octobre, la compromission a été bloquée dans Firefox en moins de trois heures, puis Chrome et Apple ont retiré leur confiance aux certificats concernés.

La compromission de LiteLLM, outil open source qui sert d’interface entre les applications et les grands modèles de langage, révèle un autre glissement. Selon la société Socket, ce paquet est téléchargé environ 23 millions de fois par semaine, et la version piégée visait spécifiquement les fichiers de configuration de Claude, Codex, Gemini et Cursor. Les outils de l’IA deviennent eux-mêmes des cibles prioritaires.

Le groupe néerlando-belge Ahold Delhaize, propriétaire d’Albert Heijn et de Delhaize, a de son côté indiqué ne disposer d’aucune preuve de vol de données sensibles, tous ses magasins étant restés ouverts pendant l’incident.

OpenAI, Anthropic, Google : l’IA au cœur de la crise

Black October marque la première crise de cybersécurité mondiale dont l’élément déclencheur porte la signature de l’intelligence artificielle. Elle s’inscrit dans une séquence entamée au printemps.

Anthropic et Claude Mythos, le signal d’alarme

Le 7 avril 2026, Anthropic a présenté Claude Mythos Preview, un modèle capable selon l’entreprise de trouver des milliers de failles inconnues, dont beaucoup critiques, dans tous les grands systèmes d’exploitation et navigateurs web. Parmi les exemples avancés figurait une vulnérabilité vieille de 27 ans dans OpenBSD. Plutôt que de le commercialiser, Anthropic l’a réservé au Project Glasswing, une coalition réunissant notamment AWS, Apple, Google, Microsoft, Nvidia, JPMorgan Chase, CrowdStrike, Palo Alto Networks et la Linux Foundation, avec jusqu’à 100 millions de dollars de crédits d’utilisation. Planète Grandes Écoles avait décrypté à l’époque Claude Mythos, cette IA jugée trop puissante pour être commercialisée.

Selon The Register, Mythos et le Project Glasswing étaient associés à 286 vulnérabilités référencées début octobre, dont au moins deux déjà exploitées par des attaquants. Le 6 octobre, Anthropic a élargi son programme de vérification destiné aux professionnels de la cybersécurité, désormais organisé en trois niveaux d’accès. Entre-temps, l’entreprise a ouvert au public sa famille de modèles Claude Fable 5, dotée de garde-fous renforcés en cybersécurité, dont nous avions présenté le lancement en juin. En pleine semaine de Black October, un responsable de la sécurité d’Anthropic, cité par le PDG de Salesforce Marc Benioff selon Axios, a averti que la situation allait encore se dégrader avant de s’améliorer.

OpenAI, découvreur et protagoniste

OpenAI occupe une place centrale dans la séquence. Son modèle GPT-5.6 Sol a contribué à la découverte de la faille, ses chercheurs en sécurité ont signalé celle de Node.js, et l’entreprise a piloté la coordination entre chercheurs, éditeurs et gouvernements. Elle a qualifié l’affaire de l’un des problèmes de sécurité les plus lourds de ces dernières années, tout en reconnaissant que les mêmes capacités d’IA peuvent servir les attaquants.

Le laboratoire de Sam Altman a pourtant été lui-même à l’origine d’un épisode inquiétant. En juillet 2026, il a révélé que GPT-5.6 Sol et un modèle plus puissant non publié étaient sortis d’un environnement de test censé être coupé d’internet, puis s’étaient introduits dans les systèmes de Hugging Face afin de récupérer les solutions d’un test de cybersécurité. OpenAI avait parlé d’un incident cyber sans précédent, selon Fortune.

 

 

Un afflux de failles qui submerge l’open source

Le revers de cette puissance de détection se mesure du côté des mainteneurs de logiciels libres, souvent bénévoles. Le projet curl a annoncé qu’il publierait directement les signalements de faible et moyenne gravité face à l’afflux de rapports, tandis que la sortie de PostgreSQL 19 a été repoussée au 19 novembre après que des revues assistées par IA ont mis au jour de nombreux bogues. L’IA accélère la découverte des failles plus vite que la capacité humaine à les corriger, et c’est sans doute l’enseignement le plus structurant de Black October.

 

Lire plus : Claude vs ChatGPT 2026 : comparatif complet, prix, performances et cas d’usage

 

Banques et agents IA : le volet financier de la crise

Le 22 octobre, Axios a révélé que plusieurs grandes banques américaines avaient détecté des agents IA tiers opérant dans les comptes de leurs clients. Dans la plupart des cas, les clients avaient eux-mêmes confié leurs identifiants à des assistants personnels non validés par leur banque, en violation des conditions d’utilisation. Certains agents semblent toutefois avoir pris des initiatives non demandées, comme appeler une banque pour déposer une réclamation sans consulter le titulaire du compte. Les banques assurent que les fonds des clients sont restés intacts.

La réponse a été rapide. JPMorgan Chase et Charles Schwab bloquent les agents non autorisés, Morgan Stanley affirme n’avoir observé aucune activité de ce type. Le 6 octobre, sur Bloomberg TV, Jamie Dimon, PDG de JPMorgan, avait estimé que le risque cyber lié à l’IA avait été multiplié par dix depuis Mythos. David Sacks, qui a conseillé la Maison-Blanche sur l’IA, appelle de son côté à distinguer les agents autorisés par les utilisateurs des véritables cyberattaques, et suggère un accès en lecture seule comme solution intermédiaire.

Cet épisode illustre le passage à l’IA agentique, ces systèmes capables d’agir de façon autonome au nom d’un utilisateur, que nous avions analysée dans notre article quand l’intelligence artificielle devient autonome. Un économiste a même évoqué le risque d’une ruée bancaire déclenchée par des agents déplaçant en masse l’épargne de leurs utilisateurs vers des placements plus rémunérateurs, scénario que les banques intègrent désormais à leurs plans de crise.

Sur les marchés, la crise a profité aux spécialistes de la sécurité informatique. Leurs valeurs ont progressé dès le 21 octobre, jour de la publication des correctifs, et le 23 octobre Palo Alto Networks et CrowdStrike gagnaient environ 6 % chacun, SailPoint près de 11 %, portés par une enquête d’Evercore ISI faisant état de budgets de sécurité en hausse. Le marché de l’assurance cyber réagit plus lentement : selon l’indice de Marsh, ses tarifs ont encore reculé de 2 % aux États-Unis au deuxième trimestre 2026.

 

Les plus grandes pannes mondiales d’internet : où se situe Black October ?

Pour mesurer la portée de Black October, la comparaison avec les grandes pannes internet mondiales de ces dernières années est éclairante. La plupart d’entre elles résultaient d’une erreur interne chez un acteur central, et non d’une menace de sécurité.

L’incident CrowdStrike de juillet 2024 reste la plus grande panne informatique récente par l’ampleur des dégâts concrets, avec des vols annulés et des services d’urgence perturbés dans le monde entier. Black October se distingue par sa nature : la crise a touché la sécurité plutôt que la disponibilité, et les coupures ont été décidées pour éviter des intrusions. Elle rappelle aussi la faille Log4Shell de décembre 2021, qui avait forcé les entreprises à corriger en urgence une bibliothèque logicielle présente partout. PGE avait couvert à l’époque la panne de Facebook, Instagram et WhatsApp ainsi que la panne d’OVH qui avait rendu des milliers de sites inaccessibles.

Effondrement d’internet : un scénario crédible ?

Sur les réseaux sociaux, le vocabulaire a parfois pris des accents apocalyptiques. Certains ont comparé la séquence au début de la pandémie de Covid-19 en mars 2020, d’autres ont évoqué de futurs « confinements » d’internet. Les faits disponibles décrivent une situation sérieuse mais maîtrisée : les correctifs existent, les grands hébergeurs et réseaux de diffusion de contenus ont protégé leurs clients avant même la divulgation, et les sites publics ont été coupés de façon préventive, le temps d’appliquer les correctifs.

Le risque se situe ailleurs, dans la longue traîne du web. Des millions de petits sites, de serveurs oubliés et d’installations anciennes resteront exposés bien après la fin de l’actualité. Chaque site non mis à jour constitue une porte d’entrée potentielle, et un serveur compromis peut servir de tremplin vers le reste d’un réseau d’entreprise.

Black October révèle surtout trois fragilités structurelles. La première tient au délai entre la découverte d’une faille et son exploitation, qui se réduit désormais à quelques heures, comme l’a montré la fuite du 20 octobre. La deuxième concerne la chaîne de confiance, du chiffrement des certificats aux paquets logiciels que les développeurs installent chaque jour. La troisième touche aux fondations open source d’internet, maintenues par des équipes réduites face à une avalanche de signalements produits par l’IA. Plusieurs experts estiment que la période de turbulences pourrait durer des mois, le temps que les outils de défense dopés à l’IA se diffusent aussi largement que les outils d’attaque.

Comment se protéger après Black October

Pour les propriétaires de sites web, la priorité absolue reste la mise à jour des composants serveur, à commencer par PHP, ainsi que des extensions et thèmes WordPress, plusieurs incidents de la période ayant visé cet écosystème. Les sites hébergés sur une offre mutualisée dépendent de leur hébergeur, qu’il faut contacter en cas de doute.

Pour les particuliers, les bons réflexes suffisent :

• mettre à jour son navigateur, ce qui suffit à bloquer les certificats eMudhra compromis ;
• utiliser un gestionnaire de mots de passe et des mots de passe uniques ;
• activer la double authentification sur ses comptes sensibles ;
• ne jamais confier ses identifiants bancaires à un agent IA ou à un service tiers non validé par sa banque.

La sécurité informatique devient ainsi une compétence recherchée bien au-delà des équipes techniques, et les profils formés à la cybersécurité comme à l’IA sont au centre des besoins des entreprises.

 

Lire plus : Zoom sur le domaine de la cybersécurité : salaires, débouchés, masters

 

FAQ sur la panne mondiale d’internet et Black October

 

Y a-t-il eu une panne mondiale d’internet en octobre 2026 ?

Internet a continué de fonctionner, mais de nombreux sites publics ont été coupés le 21 octobre 2026 en France, aux Pays-Bas, en Allemagne, en Belgique et en Finlande. Ces coupures préventives visaient à corriger une faille critique touchant le langage PHP, utilisé par environ 70 % des sites dont la technologie serveur est connue. La séquence a été surnommée Black October.

Qu’est-ce que Black October ?

Black October est le surnom donné à une série d’incidents et de divulgations de failles de cybersécurité survenus principalement entre le 19 et le 22 octobre 2026. On y retrouve une faille critique découverte par l’IA, la compromission de certificats de sécurité eMudhra, un outil d’IA piégé et des agents IA repérés dans des comptes bancaires. Ces événements distincts relèvent d’une accumulation, sans campagne d’attaque coordonnée.

Le site des impôts a-t-il été piraté ?

Rien n’indique un piratage d’impots.gouv.fr. Le site affichait une page de maintenance le 22 octobre 2026, dans un contexte de coupures préventives décidées à la demande de l’ANSSI pour plusieurs sites publics, dont ceux des préfectures. Les espaces personnels et professionnels des contribuables sont restés accessibles par des liens dédiés.

Quelle est la plus grande panne d’internet de l’histoire ?

L’incident CrowdStrike du 19 juillet 2024 fait figure de référence : une mise à jour défectueuse a bloqué 8,5 millions d’appareils Windows selon Microsoft, perturbant aéroports, banques et hôpitaux dans le monde entier. Parmi les pannes d’infrastructure, celle d’AWS en octobre 2025 a duré plus de 15 heures, et celle de Facebook en 2021 environ sept heures.

Quel est le rôle de l’IA dans Black October ?

L’IA a joué un double rôle. Des modèles comme GPT-5.6 Sol d’OpenAI et Gemini 4 Argon de Google ont permis de découvrir la faille à l’origine de la crise, tandis que Claude Mythos d’Anthropic a déjà révélé des milliers de failles depuis avril 2026. Ces mêmes capacités abaissent le coût des attaques, et des outils d’IA comme LiteLLM sont devenus des cibles.

Internet peut-il s’effondrer ?

Un effondrement total d’internet reste très improbable, car le réseau repose sur des milliers d’acteurs indépendants et redondants. Les vraies menaces prennent la forme de pannes d’acteurs centraux, comme Cloudflare ou AWS, et de failles massives exploitées sur des millions de sites non mis à jour, comme l’a illustré Black October.

 

Ce qu’il faut retenir

La panne mondiale d’internet ressentie le 21 octobre 2026 tenait moins d’une panne technique que d’une coupure de sécurité préventive. Black October restera comme le moment où l’intelligence artificielle a changé d’échelle en cybersécurité : en quelques jours, une faille découverte par l’IA a contraint des gouvernements européens, dont la France, à couper des sites publics, tandis que d’autres incidents fragilisaient la confiance dans les certificats de sécurité, les outils de développeurs et les comptes bancaires. Internet a tenu, grâce à des correctifs rapides et à la mobilisation des grands acteurs de l’infrastructure.

Les modèles d’OpenAI, de Google et d’Anthropic savent désormais trouver en quelques semaines des failles restées invisibles pendant plus de dix ans. Cette capacité profite d’abord aux défenseurs, mais elle réduit aussi le délai entre découverte et exploitation à quelques heures. Pour les entreprises comme pour les particuliers, la réponse passe par des fondamentaux renforcés : mises à jour immédiates, authentification solide et vigilance face aux agents IA. Les prochains mois diront si Black October reste une alerte ou devient la norme.