Faille PHP: les sites du SPF Finances hors ligne, MyMinfin reste accessible

Correctif publié, recommandations du CCB et vérifications à faire pour les sites de nos cabinets

Une faille critique dans le langage de programmation PHP, utilisé par plus de 70 % des sites web, a conduit ce mercredi 21 octobre 2026 de nombreuses organisations à mettre leurs sites hors ligne. Le SPF Finances a suspendu par précaution plusieurs de ses sites d'information, mais MyMinfin reste disponible. Le Centre pour la cybersécurité Belgique (CCB) n'avait recensé, à ce stade, aucune attaque contre des sites belges, et un correctif a été publié peu après 16 heures.

1. Faille PHP du 21 octobre 2026 : une fermeture par précaution, pas un piratage

Deux vulnérabilités critiques ont été signalées dans PHP, langage open source utilisé par une très large part des sites internet. Selon l'avis de sécurité publié par PHP, elles permettent l'exécution de code à distance sur un serveur web. Des détails techniques ayant circulé avant la publication du correctif, et des tentatives d'exploitation ayant été observées au niveau international, de nombreuses organisations ont préféré couper temporairement l'accès à leurs sites en attendant la mise à jour.

En Belgique, la mesure a touché notamment des sites de la Région flamande, le comparateur d'énergie de la CREG, la plateforme scolaire Smartschool et plusieurs sites de médias. Aux Pays-Bas, des services publics sont également devenus inaccessibles. À ce stade, le CCB n'avait toutefois recensé aucune attaque contre des sites web belges. Il faut le dire clairement à nos clients qui s'en inquiètent : une fermeture préventive ne signifie pas que le site a été piraté.

2. Sites du SPF Finances hors ligne : MyMinfin reste accessible

Le SPF Finances a mis hors ligne, à titre préventif, ses sites fin.belgium.be, finances.belgium.be (financien.belgium.be en néerlandais), finimmoweb.be, fondsdegarantie.belgium.be et ruling.be¹. Le SPF précise que MyMinfin reste disponible et annonce qu'il informera dès le rétablissement de la situation. Selon la presse, le site geregistreerdkassasysteem.be était également indisponible, bien qu'il ne figure pas dans la liste communiquée par le SPF.

Pour nos cabinets, cela signifie concrètement que la consultation des pages d'information des sites du SPF Finances et du site du Service des décisions anticipées est interrompue pour l'instant, tandis que MyMinfin reste, lui, accessible. Si une autre application devenait inaccessible alors qu'une échéance en dépend, nous recommandons de conserver une trace datée de la difficulté rencontrée, par exemple une capture d'écran du message d'erreur.

3. Correctif PHP disponible : ce que recommande le CCB

Le correctif visant les deux vulnérabilités a été diffusé peu après 16 heures. Il est disponible pour les branches de PHP encore supportées, soit PHP 8.2 et les versions ultérieures. Les sites qui tournent sur une branche plus ancienne, qui ne reçoit plus de correctifs de sécurité, doivent d'abord migrer vers une branche supportée. Le CCB recommande d'installer la mise à jour le plus rapidement possible et, pour les organisations qui ne peuvent pas le faire immédiatement, de mettre temporairement leur site hors ligne². La remise en ligne des sites suspendus peut donc prendre un peu de temps, le temps pour chaque gestionnaire d'appliquer et de contrôler la mise à jour.

4. Sites web de nos cabinets d'expertise comptable : les vérifications à faire

Beaucoup de sites de cabinets, qu'il s'agisse d'un site vitrine, d'un portail client ou d'un simple formulaire de contact, reposent sur un gestionnaire de contenu développé en PHP. Trois questions suffisent pour faire le point avec votre prestataire : le site utilise-t-il PHP, dans quelle version, et le correctif a-t-il été appliqué puis vérifié. Si la réponse tarde, si la branche PHP n'est plus supportée ou si le correctif ne peut pas être appliqué et vérifié rapidement, la recommandation du CCB s'applique : mieux vaut une mise hors ligne temporaire qu'une exposition inutile, en particulier lorsque le site recueille des données de clients.

Avec l'équipe de l'Ordre, nous suivons l'évolution de la situation. MyMinfin reste accessible ; nous reviendrons vers nos cabinets francophones, à Bruxelles comme en Wallonie, dès la remise en ligne des autres sites du SPF Finances.

Références

¹ SPF Finances, communication du 21 octobre 2026 (FR/NL) relative à la mise hors ligne préventive de ses sites internet.

² Centre pour la cybersécurité Belgique (CCB), recommandation du 21 octobre 2026 relative aux vulnérabilités du langage PHP.