Sites coupés pour la faille PHP2Shell : Google réclame un code 503

Le 21 octobre 2026, Google a rappelé comment fermer un site sans abîmer son référencement. Des sites publics et privés passaient alors en maintenance dans plusieurs pays européens pour corriger deux failles critiques de PHP, surnommées PHP2Shell. Sur Bluesky, John Mueller, Search Advocate chez Google, a demandé un code HTTP 503 plutôt que des réponses qui expirent, une 404 ou une erreur 500. Le compte Google Search Central a publié le même jour sur LinkedIn un message destiné à ceux qui appliquent les correctifs d’urgence de PHP ou coupent leurs serveurs : « Don’t forget the 503! »

Deux failles critiques, des sites fermés par précaution

L’équipe de PHP a publié le 21 octobre les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités qui peuvent permettre d’exécuter du code à distance sans authentification. PHP les avait annoncées la veille avec une note de 9,2 sur 10 selon la grille CVSS v4.0. Le bulletin vise toutes les installations qui traitent des requêtes web et juge le risque maximal avec le module mod_php d’Apache.

PHP, sur lequel reposent WordPress, PrestaShop, Drupal et Joomla, équipe 69,3 % des sites dont le langage côté serveur est connu, selon W3Techs (relevé du 21 octobre 2026). Pour les sites WordPress, l’alerte arrive cinq jours après la révélation des mises à jour piégées de Rank Math PRO.

Les branches 8.1 et antérieures ne reçoivent plus de mises à jour : le projet a seulement publié des correctifs minimaux en code source pour les versions 7.4, 8.0 et 8.1. Pour les versions non maintenues, de 5.x à 8.1.x, le CERT-FR a recommandé dans son alerte CERTFR-2026-ALE-014 d’isoler les équipements concernés, puis de migrer vers une version maintenue dotée des derniers correctifs. Le CERT-EU, cité par Next, a conseillé, faute de mise à jour immédiate, d’envisager d’isoler des réseaux publics les applications exposées à Internet jusqu’à la disponibilité d’un correctif.

En France, le ministère de l’Intérieur a fait savoir qu’il avait procédé, « à la demande de l’Anssi », à « la mise en maintenance préventive de l’ensemble de ses sites Internet exposés à une vulnérabilité critique de sécurité », selon Le Parisien, cité par L’Express. Les sites des préfectures et impots.gouv.fr ont affiché une page de maintenance. Météo-France a écrit sur X avoir fermé par précaution « l’ensemble de nos sites internet ». Next a vu le site de la CNIL passer en maintenance vers 12 h 30 et a fermé le sien jusqu’à la sortie des correctifs.

Le message de Google : un 503 servi hors de PHP

Mueller a publié son message à 17 h 26, heure de Paris, environ une heure et demie après la sortie des correctifs. « Si vous mettez des sites PHP hors ligne pour vous ménager un créneau afin de gérer des “mises à jour imprévues”, utilisez un code HTTP 503 au lieu de laisser les réponses expirer ou de renvoyer une 404 ou une 500 », écrit-il. Il ajoute que ce code peut être servi « en dehors de PHP », en faisant pointer le DNS ailleurs ou en passant par un CDN. Il renvoie à un billet de Google de 2011 sur les interruptions programmées et au guide sur la mise en pause d’un site.

Sous la publication, un internaute a classé les réponses de la meilleure à la pire : 503, puis 500, 403, 404 et enfin 200. Mueller a répondu que c’était « un bon modèle ».

Le message de Google Search Central sur LinkedIn va dans le même sens : un 503 garantit que les URL déjà indexées restent dans les résultats pendant l’intervention, et la situation revient d’elle-même à la normale une fois que le site renvoie de nouveau des codes 200. Le compte déconseille les 404 génériques et les pages d’erreur servies avec un code 200.

Search Engine Journal (Matt G. Southern) a relevé une limite du billet de 2011 : son exemple envoie le 503 avec du code PHP, ce qui ne sert à rien quand c’est PHP qu’on arrête. Ce billet recommandait déjà, pour une maintenance matérielle, de garder un serveur séparé chargé de renvoyer le 503.

Comment Google traite un 503, une 404 ou une page en 200

Selon la documentation de Google sur les codes d’état HTTP, un code 5xx ou 429 pousse ses robots à ralentir l’exploration. Les URL déjà indexées « sont conservées, mais finissent par être supprimées de l’index », et le contenu renvoyé avec ces codes est ignoré. Une URL indexée qui renvoie une 404, ou un autre code 4xx hors 429, est retirée de l’index.

Une page de maintenance servie avec un code 200 part, comme n’importe quelle page, vers le système d’indexation de Google. Si son contenu ressemble à un message d’erreur, la Search Console la classe en soft 404, un statut décrit dans notre guide des statuts d’indexation. En 2013, Mueller écrivait déjà, dans un texte repris sur son site, qu’une page d’erreur renvoyée en 200 conduit Google à indexer ce changement de contenu.

La page de Google sur la réduction de la vitesse d’exploration, mise à jour en octobre 2026, réserve les codes 500, 503 et 429 à une courte période, « quelques heures, ou un à deux jours ». Une URL qui les renvoie pendant plusieurs jours peut sortir de l’index. Le ralentissement touche tout le nom d’hôte, y compris les pages qui répondent normalement, et les campagnes Google Ads peuvent être annulées ou suspendues.

Le guide sur la mise en pause d’un site qualifie la fermeture complète de « mesure extrême » à ne prendre que « pendant quelques jours tout au plus ». Il demande de ne pas renvoyer de 503 pour le fichier robots.txt, « car cela bloque toute exploration ». Pendant un 503, Google ne peut pas non plus actualiser les titres, les descriptions ni les données structurées des pages.

Des pages de maintenance en 200 sur des sites de l’État

MACCUS a relevé le 22 octobre entre 1 h 17 et 1 h 30 (heure de Paris) les réponses de plusieurs sites cités comme fermés. Les sites des préfectures de la Drôme, de l’Ardèche, de la Seine-Saint-Denis, des Hauts-de-Seine, du Val-de-Marne et de la Savoie renvoyaient leur page « Site en maintenance » avec un code 200, sur la page d’accueil, les pages internes testées et le fichier robots.txt. Impots.gouv.fr faisait de même.

Le site de la CNIL renvoyait au contraire un 503 sur ses pages et laissait son fichier robots.txt répondre normalement, la configuration que décrit Google. Les réponses étaient identiques quand la requête se présentait comme Googlebot. Ces relevés ont été faits depuis un serveur de MACCUS : Googlebot, qui explore depuis les adresses de Google, a pu recevoir d’autres réponses. Aucun de ces sites n’affichait de date de retour.

Les limites de la consigne

Google ne fixe pas de seuil précis. Selon les pages, la marge va de « un à deux jours » à « quelques jours tout au plus », et le message LinkedIn ne donne aucune durée. Pour une fermeture plus longue, le guide sur la mise en pause recommande une page d’accueil indexable servie avec un code 200, « comme espace réservé ».

La consigne de Google porte sur l’indexation. Pour la sécurité, l’équipe de PHP écrit qu’aucune mesure de contournement n’est complète et que la mise à jour reste le seul choix sûr : une page 503 ne corrige pas la faille.

Lors de la faille Log4j, en décembre 2021, Mueller avait conseillé de servir une version statique du site sur les mêmes URL et assuré que des problèmes techniques temporaires « ne sont pas le signe d’un site de mauvaise qualité », selon Search Engine Roundtable.

Notre analyse

Google répète cette règle depuis au moins 2011. Le 21 octobre, elle a croisé une alerte qui prenait, selon Next, des « proportions inédites » : des administrations, des médias et des entreprises ont fermé leurs sites le même jour, souvent dans l’urgence. Au ministère de l’Intérieur, la mise en maintenance a été demandée par l’Anssi, l’Agence nationale de la sécurité des systèmes d’information. Les sites en hébergement mutualisé dépendent de la page que leur hébergeur affiche pendant l’intervention.

Google affirme qu’un 503 de courte durée préserve les URL indexées et que tout revient ensuite à la normale. Il ne chiffre pas le délai de reprise : sa documentation indique seulement que la fréquence d’exploration remonte progressivement une fois les codes 2xx revenus, et ses robots repassent sur chaque site à un rythme très variable, d’après les estimations internes présentées par Google début octobre. L’effet de quelques heures de pages de maintenance en 200 n’est pas chiffré non plus : ces pages peuvent être indexées à la place du contenu ou classées en soft 404. En 2013, Mueller écrivait seulement qu’un site qui n’avait pas pu renvoyer de 503 mettrait sans doute « un peu de temps » à se stabiliser dans la recherche, mais que « ça reviendra ».

Les variations de classement à venir seront difficiles à interpréter. Search Engine Roundtable a relevé les 20 et 21 octobre une forte agitation des classements, que Google n’a pas confirmée, et le tableau de bord de la recherche Google ne liste aucune mise à jour depuis le spam update de septembre. Rien ne relie à ce stade cette agitation aux fermetures de sites.

Les rapports d’exploration et d’indexation des sites rouverts diront dans les prochains jours si des soft 404 ou des URL sorties de l’index font suite aux fermetures servies avec un code 200 ou 404. Dans la nuit du 21 au 22 octobre, aucune annonce officielle ne fixait encore la date de réouverture des sites des préfectures.

Sources

• Security advisory: Critical remote code execution vulnerabilities, update now, PHP, 21 octobre 2026
• Multiples vulnérabilités dans PHP (CERTFR-2026-ALE-014), CERT-FR, 21 octobre 2026
• Publication de John Mueller sur les sites PHP mis hors ligne, Bluesky, 21 octobre 2026
• Publication de Google Search Central sur les correctifs d’urgence de PHP (« Don’t forget the 503! »), LinkedIn, 21 octobre 2026
• Effet des codes d’état HTTP sur les robots d’exploration Google, Google, 5 mars 2026
• Désactiver ou suspendre temporairement un site Web, Google Search Central, 31 décembre 2025
• Failles critiques PHP : les correctifs sont en ligne et à installer rapidement, Next, 21 octobre 2026
• « Actuellement en maintenance » : de nombreux sites institutionnels inaccessibles en France ce mercredi 21 octobre, L’Express (6Médias), 21 octobre 2026

Image d’en-tête : graphique MACCUS, données de Google Search Central et de la documentation de Google, octobre 2026