Coup de chaud sur Wikipédia. Si vous avez tenté de corriger une faute de frappe ou de compléter une page de l’encyclopédie en ligne dans l’après-midi du jeudi 5 mars 2026, vous avez dû vous heurter à un mur : impossible de modifier quoi que ce soit. La raison ? La plateforme collaborative a connu un incident technique sérieux, l’obligeant à réagir en urgence.
Tout a commencé par une banale vérification de routine. L’équipe de la fondation Wikimédia — qui supervise tous les projets autour de Wikipédia — menait un audit de sécurité sur le code écrit par les utilisateurs. Il s’agit de scripts rédigés dans le langage JavaScript qui permettent de personnaliser l’interface, notamment.
L’objectif initial de cette revue de sécurité était d’ausculter le comportement de ces scripts pour s’assurer de leur innocuité. Sauf que dans le processus, il s’avère qu’un fichier a été activé par inadvertance et s’est révélé malveillant, a rapporté un membre de l’équipe de Wikimédia sur le Discord du projet — message dupliqué par la suite sur Reddit.
La fondation a fait son mea culpa : « L’ironie de déclencher ce script nous-mêmes ne nous échappe pas, et nous regrettons cette perturbation. Cependant, les risques du système sont réels. Nous continuerons donc de sécuriser les scripts utilisateurs — en lien étroit avec la communauté — pour éviter que cela ne se reproduise », a réagi l’équipe.
Si les choses sont rentrées rapidement dans l’ordre, la situation est apparue malgré tout tendue pendant quelques dizaines de minutes. Comme l’indique un communiqué officiel de Wikimédia, le script malveillant a fait des siennes pendant 23 minutes, provoquant notamment des suppressions de pages sur Meta-Wiki, avec le risque d’une propagation à plus grande échelle.
Le tableau de bord de suivi de l’incident, qui retrace les principales étapes de la perturbation, montre que l’équipe a dû basculer les Wikis en mode « lecture seule », empêchant donc la communauté de procéder à la moindre modification. L’interdiction d’éditer a duré deux heures environ, avant qu’elle ne soit levée.
Les scripts, eux, sont restés inactifs pour le reste de la journée. Ce n’est que dans la nuit du 5 au 6 mars que ces fichiers ont de nouveau été admis. Dans l’intervalle, indique Wikimédia, « les pages touchées ont été restaurées » et la fondation estime à ce stade « qu’aucun dommage permanent n’a été causé par ce code ».
L’héritage toxique d’une guerre de wikis russes
Mais d’où sortait donc ce bout de code aussi critique, qui a été capable de paralyser Wikipédia pendant deux heures ? Si la fondation Wikimédia est restée floue sur la nature exacte du script dans son communiqué, une piste a été mise au jour par la communauté. Il s’agirait, selon les observations faites dans un fil Reddit dédié, d’une relique logicielle.
Le script malicieux est décrit comme un héritage d’anciennes cyberattaques menées en 2023 contre Wikireality et Cyclopedia, deux projets de wikis alternatifs russophones. En 2024, un utilisateur l’avait archivé sur une page de la version russe de Wikipédia, à des fins probables d’analyse. Et depuis, il y prenait manifestement la poussière.
C’est là que le problème s’est noué, puisque l’employé de la fondation qui a effectué l’audit de sécurité disposait de puissants droits d’« administrateur d’interface global », lui permettant notamment de modifier le fichier central de l’interface meta:MediaWiki:Common.js. En somme, c’est un cas classique d’incident lié aux privilèges informatiques.
À la suite de l’activation accidentelle du script sur Meta-Wiki, le code a exploité les permissions élevées pour se propager via ce fichier central. Résultat : pendant ces 23 minutes, le script a infecté les autres utilisateurs visitant la plateforme au même moment, selon le résumé de la communauté. Y compris le compte de haut niveau WMFOffice appartenant à la fondation.
Son action automatisée consistait à supprimer des pages à la chaîne, en laissant systématiquement le même résumé de modification laconique : « Закрываем проект » (Fermeture du projet, en russe). On comprend mieux, alors, la décision de tout basculer en mode « lecture seule » et de couper le fonctionnement des scripts.
Au-delà de la pagaille, la fondation Wikimédia s’est voulue rassurante sur l’essentiel. Aucune information personnelle ni aucune donnée sensible n’a été compromise ou divulguée. L’organisation a insisté sur le fait qu’il n’y avait « aucune raison de croire que Wikipédia subissait une attaque active » ce jour-là. Pour le dire autrement, il s’agissait d’un malencontreux « tir ami ».
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !